Deler du en Windows-tilkobling? VPN-ruten endres under den

En bærbar PC deler Wi-Fi-en sin, verten surfer gjennom tunnelen uten klager, og nettbrettet på den delingen når ingenting. Verten sluttet å være bare en klient i det øyeblikket delingen ble slått på: den er nå en ruter, og videresendte pakker møter et annet sett regler. Det som virker på verten, sier ingenting om enheten bak den. Kjør kontrollene fra den nedstrøms klienten, og forskjellen slutter å være teoretisk.

Vertens suksess beviser ingenting

Tilkoblingsdeling gir fire oppgaver til én maskin: tildeling av adresser, videresending, oversettelse og filtrering. En VPN-klient som beskytter lokalt generert trafikk kan betrakte videresendt trafikk som utenfor sitt område, eller blokkere den med vilje som en lekkasje. Ingen av de to atferdene er en feil, og ingen av dem står skrevet på skjermen der delingen ble slått på. Bare testen nedstrøms forteller deg hvilken du har.

Mange klienter videresender bare vertens trafikk og ingenting annet, så sjekk delingsavsnittet i klientens dokumentasjon i stedet for å stole på at tunnelen ruter for nettbrettet. Det synlige symptomet er en enhet som kobler til, får en adresse og deretter feiler på den første forespørselen. En klient som nekter å videresende ser fortsatt helt sunn ut på verten.

Hvilken adapter deles, hvilken betjener klientene

Noter begge adapterne, fordi de har ulike adresser og ulike filtre, og en endring på den feil forklarer mange forvirrende resultater. Delingsverten tar vanligvis en fast adresse på nedstrømssiden og kjører en liten DHCP- og DNS-tjeneste der. Windows holder videresending per adapter i stedet for globalt, så tilstanden må leses grensesnitt for grensesnitt.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Hvis videresending står som Deaktivert på den delte adapteren, vil ingenting nedstrøms fungere uansett hva tunnelen gjør. Slå det bare på på en maskin der policyen tillater den å rute for andre enheter.

Videresending, oversettelse og filtrering

En videresendt pakke må nå tunnelen, oversettes til noe den fjerne siden godtar, og komme tilbake gjennom den samme oversettelsen. Hvert av de tre trinnene kan bryte, og hvert brudd gir den samme nettleserens tidsavbrudd. En pakkefangst, et rutesøk og en logg fra den fjerne siden er verdt mer enn nok en gjennomgang av delingsdialogen. Hvilket trinn som feiler, er det som forteller hvis endring som trengs.

Den fjerne siden kan også trenge en returrute for det delte subnettet, et område VPN-serveren aldri har sett. Der klienten oversetter, ser serveren bare tunneladressen, og ingen returrute er nødvendig. Der den ikke oversetter, må den som eier gatewayen legge til ruten med vilje, og det er en endringsforespørsel, ikke en klientinnstilling.

Kjør kontrollene på klienten, ikke på verten

Kjør hver kontroll på klienten som feiler, ikke på verten som virker. Hold egress-adressen, resolverens svar og applikasjonstesten i samme økt, fordi resultater samlet en time fra hverandre ikke sier noe om hvordan de tre kombineres.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Sammenlign egress-adressen med vertens egen og noter om de to stemmer. Et annet svar betyr at den videresendte veien omgår tunnelen, noe som er et policy-spørsmål med en eier og ikke en rask rettelse. Et samsvarende svar ved siden av en feilende applikasjon flytter arbeidet til navneoppslag eller til policyen på den fjerne siden. Ikke stopp ved IPv4-resultatet heller: en deling kan bestå hver IPv4-kontroll mens IPv6 går ut gjennom en annen utgang, så gjenta navne- og egress-kontrollene med AAAA-posten og den detaljerte tilkoblingstesten.

På en administrert maskin, bekreft at deling i det hele tatt er tillatt, fordi å eksponere tilgang til en annen enhet er en administrativ beslutning og ikke en bekvemmelighetsbryter. Etter enhver støttet endring, gjenta kontrollene ved gjenkobling og igjen under et avbrudd. At verten kobler rent til på nytt, gjenoppretter ikke en videresendt rute som klienten aldri har støttet.