Een Windows-VPN delen met een bekabelde console: pc-gateway of router

Consoles die de VPN-client niet kunnen draaien, kunnen soms de tunnel van een Windows-pc lenen, en deze opstelling mislukt vaker dan dat ze slaagt, om redenen die niets met de VPN te maken hebben. De pc moet een gateway worden: een aparte interface naar beneden, adressering voor de console, vertaling, en een client die bereid is pakketten van een ander apparaat door te sturen. Een tunnel die voor de eigen toepassingen van de pc werkt, bewijst daar niets van.

De vergelijking die de moeite waard is, gaat tussen die opstelling en een router die de tunnel voor het hele netwerk bezit. Ze verschillen in onderhoud, in gedrag bij een storing en in hoeveel van het beleid je tegelijk kunt zien.

Wat de pc-gateway moet doen

Een gateway heeft een interface nodig die naar de console wijst, een adresbereik voor dat segment en een vertaalregel die het verkeer van de console naar de tunnel herschrijft. Ook moet de client pakketten doorsturen die hij niet zelf heeft gemaakt, en dat is een andere instelling dan zijn eigen verkeer accepteren. Naamresolutie moet dezelfde weg volgen, anders lost de console een gamedienst via de ene route op en verbindt daarna via een andere. Elk daarvan is een aparte configuratiestap met zijn eigen manier van falen.

console -> dedicated ethernet -> windows sharing / nat
        -> selected tunnel interface -> internet

Internetverbinding delen in Windows levert precies deze vorm, met één verbinding aangewezen als openbaar en een andere als privé. Die aanwijzing is belangrijker dan mensen verwachten, omdat de interface die de router van het huis bereikt niet automatisch degene is die de tunnel draagt.

Vergelijkingen die de doorslag geven

Drie verschillen scheiden een pc-gateway van een routergateway, en dat zijn degene die maanden later opduiken. De tabel zet ze naast elkaar.

De binding aan een gebruikerssessie is het eerste verschil en degene die mensen verrast. Een pc die slaapt, zich afmeldt of een update installeert, is geen gateway meer, en de console verliest zijn pad zonder dat er een instelling verandert. De zichtbaarheid van het beleid is het tweede, omdat de regels van de client en de deellaag op twee plaatsen leven en geen van beide de andere beschrijft. De adresdienst is het derde, en die verklaart een console die wel een adres heeft maar toch niets bereikt.

Niets daarvan maakt de pc-opstelling fout. Het maakt er een tijdelijk ontwerp van, wat aanvaardbaar is wanneer de eis tijdelijk is.

Doorgestuurd verkeer is een andere categorie

Een desktopclient kan pakketten die voor een ander apparaat worden doorgestuurd anders behandelen dan zijn eigen pakketten. Een inclusielijst per toepassing dekt processen op de pc en zegt niets over het verkeer van een console, terwijl een killswitch die lokale toepassingen beschermt het doorgestuurde pad misschien helemaal niet beschermt. Bevestig het gedocumenteerde gedrag van de client voor doorgestuurd verkeer in plaats van het af te leiden uit een geslaagde paginalading op de pc. Waar dat gedrag onduidelijk is, rust de hele opstelling op een aanname.

De adressering van de console moet uit de deelopstelling komen, nooit uit het kopiëren van het tunneladres van de pc erop. Kopiëren levert een dubbel adres, een verkeerde gateway en een resolver die naar iets wijst dat de console niet kan bereiken. Laat de dienst beneden de configuratie uitdelen en controleer daarna wat de console werkelijk heeft ontvangen.

Controleer het verkeer van de console, niet dat van de pc

De enige zinvolle test kijkt naar het pad van de console. Op de pc tonen de opdrachten hieronder de indeling van de interfaces, de nabuurtabel over de verbinding naar beneden en of de console op een servicepoort antwoordt. Voer ze uit terwijl een gamesessie echt verbonden is.

Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4Address
Get-NetAdapter | Select-Object Name, Status, LinkSpeed
arp -a | findstr 192.168.137.
Test-NetConnection 192.168.137.10 -Port 3074

Een interface zonder adres aan de benedenkant betekent dat het delen nooit is begonnen, wat een ander probleem is dan een console die geen verbinding krijgt. Een vermelding voor de console in de nabuurtabel bewijst dat de verbinding en de adressering leven. Een poorttest die daarna mislukt, wijst op doorsturen of op de manier waarop de client met doorgestuurd verkeer omgaat, niet op de kabel. Vergelijk het uitgaande adres van de console met dat van de pc voordat je concludeert dat de tunnel het gebruikte pad is.

Houd de opstelling gedocumenteerd met de interfacenamen en adresbereiken. Als ze na de volgende update stukgaat, bespaart die pagina een uur herontdekking.