Il-VPN jimblokka l-LAN lokali fuq Windows: rotta jew politika tal-klijent?
L-aċċess għal-LAN lokali fuq Windows jinqasam għal żewġ raġunijiet differenti: rotta nieqsa, jew politika tal-gateway li tarmi s-subnet. Tliet verifiki jgħidu liema.
Stampatur, NAS jew magna tal-iżvilupp fuq l-iskrivanija tiegħek tieqaf twieġeb fil-mument li l-VPN tax-xogħol jgħaqqad. Kultant kmand wieħed tar-rotta jsewwi dan fi ftit sekondi; kultant l-istess rotta hija korretta u l-pakketti xorta jgħibu, li jfisser li qed tara problema oħra b'sintomu simili. Id-deċiżjoni tinżel għal tliet mistoqsijiet, u li tistaqsihom fl-ordni ħażina huwa r-raġuni għaliex in-nies iqattgħu lejla sħiħa jħassru u jerġgħu jżidu rotot.
Tliet mistoqsijiet qabel kull kmand
L-ewwel: hemm entrata għall-prefiss lokali, u hija tindika lejn l-adapter fiżiku? It-tieni: il-klijent jirċievi permess jew ċaħda tan-netwerk lokali mill-gateway meta jgħaqqad? It-tielet: għandek bżonn biss aċċess ħierġa lejn il-LAN, jew xi ħaġa fuq l-internet trid ukoll tilħaq servizz li qed jaħdem fuq il-magna tiegħek?
L-ewwel mistoqsija tifred ħsara fl-irrotar minn ħsara fil-filtrazzjoni. It-tieni tgħid jekk tiswija tar-rotta tistax taħdem xejn. It-tielet tbiddel it-tiswija: rotta ssewwi t-traffiku ħiereġ, filwaqt li servizz dieħel li ma jintlaħaqx normalment hija problema ta' rabta tas-semmiegħ u ta' triq lura li rotta tagħmilha agħar.
| What you see | What it points at |
|---|---|
| No local prefix in the table | Missing route |
| Correct prefix, no reply | Client filter or gateway policy |
| Works by IP, fails by name | Resolver changed by the tunnel |
| Inbound service dies, outbound fine | Return path or listener binding |
Mistoqsija waħda: rotta, filtru jew isem
Aqra t-tabella qabel ma żżid xi ħaġa magħha. L-indeks tal-interface huwa importanti, għax kull kmand tar-rotta hawn taħt huwa ankrat miegħu:
route print -4
Get-NetRoute -DestinationPrefix 192.168.1.0/24 | Format-Table InterfaceIndex,NextHop,RouteMetricSubnet imqabbad direttament normalment iżomm rotta on-link anki meta t-tunnel ikun attiv, għalhekk entrata tista' teżisti u t-traffiku xorta jista' jonqos. Dak l-għaqda hija l-firem ta' filtru li jaħdem wara l-irrotar, u dak huwa l-każ fejn it-tieni rotta, aktar speċifika, ma tbiddel xejn.
Ittestja b'mod separat bl-indirizz u bl-isem. Jekk ping 192.168.1.50 iwieġeb u net view 192.168.1.50 ma jwieġibx, it-tabella tal-irrotar qatt ma kienet il-problema: it-tunnel biddel is-solver u l-isem lokali ma jissolvix aktar. Iżżid rotta għal dak huwa xogħol fix-xejn.
Mistoqsija tnejn: il-gateway jippermetti aċċess għal-LAN lokali?
Klijent kummerċjali jinstalla aktar minn rotot. Huwa jirċievi politika meta jgħaqqad, u dik il-politika tista' tinkludi permess espliċitu għan-netwerk lokali. Fl-installazzjonijiet Cisco IPsec il-politika tal-grupp iġġorr is-setting ta' split-tunneling u bandiera separata għall-aċċess għal-LAN lokali; il-kaxxa tal-ikklerkar fil-klijent hija talba li l-gateway jista' jirrifjuta. F'AnyConnect il-profil jikkontrolla l-listi ta' inklużjoni u esklużjoni tas-split u l-istess permess. Fuq Windows RRAS l-ekwivalenti huma l-għażla tal-gateway default fil-profil flimkien mar-rotot statiċi li jagħti s-server.
Meta l-bandiera tkun mitfija, l-imġiba dokumentata hija li l-klijent jimblokka t-traffiku lejn is-subnet imqabbad direttament anki jekk teżisti rotta valida, aktar speċifika. Huwa għalhekk ukoll li rotot li l-klijent m'għandux jistgħu jgħibu ftit sekondi wara li żżidhom: il-klijent qed jerġa' jibni l-istat li kien imqabbad jibni, mhux qed jiġġieled miegħek.
Il-log tal-klijent jirreġistra d-deċiżjoni meta jgħaqqad, u li taqrah huwa aktar mgħaġġel minn kull esperiment fuq il-magna. Jekk il-log jgħid li l-aċċess lokali huwa mblukkat, waqaf: l-ebda tiswija tal-linja tal-kmand ma tgħaddi minn dak, u l-uniċi toroq li jibqgħu huma bidla fil-politika, li tasal għar-riżorsa permezz tat-tunnel, jew li żżomm il-klijent f'magna virtwali u tħalli l-host fuq in-netwerk lokali.
Mistoqsija tlieta: liema direzzjoni għandek bżonn?
It-traffiku ħiereġ lejn apparat fil-qrib hija mistoqsija tal-irrotar. Dawwar il-prefiss tal-LAN lejn il-gateway lokali b'metrika baxxa biżżejjed biex tegħleb ir-rotta default tat-tunnel:
route add 192.168.1.0 mask 255.255.255.0 192.168.1.1 metric 1 if 12
route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 -pIt-tieni forma torbot apparat wieħed, u dan huwa dak li trid meta indirizz wieħed huwa r-rekwiżit kollu. L-ekwivalenti netsh jirreġistra l-istess deċiżjoni bl-isem tal-interface aktar milli bl-indeks:
netsh interface ipv4 add route prefix=192.168.1.0/24 interface=12 nexthop=192.168.1.1 store=persistentIl-kmandi tar-rotta jonqsu b'Il-parametru mhuwiex korrett meta l-indirizz u l-mask ma jaqblux, pereżempju indirizz tal-host b'mask /24. Uża l-indirizz tan-netwerk għal rotta tas-subnet u mask tal-host għal host wieħed.
Id-dieħel huwa differenti. Server VNC jew SSH fuq l-istess magna jsir ma jintlaħaqx meta t-tweġibiet għal konnessjoni dieħla joħorġu mill-gateway tal-VPN u qatt ma jerġgħu lura. Iċċekkja fuq xiex is-servizz jisma' qabel ma tmiss ir-rotot:
netstat -ano | findstr :5900Semmiegħ marbut ma' indirizz speċifiku wieħed mhux se jwieġeb fuq l-interface l-ieħor. Li torbot ma' l-interfaces kollha hija deċiżjoni deliberata, meħuda flimkien ma' regola tal-firewall limitata għan-netwerk li tafdah. Biss wara dan it-tiswija tar-rotta terġa' tistabbilixxi t-triq lura.
Applika l-iżgħar bidla li taqbel
Il-mossa komuni l-oħra hija li tneħħi l-ikklerkar ta' “Uża gateway default fuq in-netwerk remot” fil-proprjetajiet avvanzati tal-IPv4. Dan iżomm it-traffiku tal-internet lokali, iżda jagħmel żewġ affarijiet fl-istess ħin: il-VPN jieqaf ikun it-triq default, u l-klijent jieqaf jirċievi rotot għan-netwerk remot, inkluż multicast. Neħħi l-ikklerkar u l-LAN remot jgħib sakemm is-server ma jimbotta l-prefissi remot speċifiċi li jeħtieġ kull klijent.
Dik l-asimetrija tiddeċiedi l-ordni tax-xogħol. Jekk in-naħa remota trid tibqa' kompletament aċċessibbli, imbotta s-subnets remoti mis-server u ħalli d-default lokali. Jekk ma tistax tbiddel is-server, żid rotta permanenti għall-prefiss remot permezz tal-indirizz li tat it-tunnel, u ċċekkja b'route print li l-prefiss jindika lejn l-interface tal-VPN filwaqt li d-default għadu jindika lejn il-gateway fiżiku.
Imbagħad ikkonferma li t-tiswija tibqa' wara qabbad mill-ġdid, għax rotot mhux permanenti jmutu mal-adapter u skript li jaħdem wara kull konnessjoni huwa l-post onest għalihom. Ittestja apparat lokali wieħed u riżorsa remota waħda fl-istess sessjoni, aqla', erġa' qabbad u erġa' ttestja. Jekk l-apparat lokali xorta jonqos filwaqt li r-rotta tidher korretta, mur lura għall-mistoqsija tnejn: il-klijent qed jiffiltra, u t-tweġiba hija bidla fil-politika mhux it-tieni rotta kompetittiva.