Deel je een Windows-verbinding? Het VPN-pad verandert eronder

Een laptop deelt zijn Wi-Fi, de host browst zonder klachten door de tunnel, en de tablet op die deling bereikt niets. De host was niet langer alleen client op het moment dat deling werd aangezet: hij is nu een router, en doorgestuurde pakketten treffen een andere set regels. Wat op de host werkt, zegt niets over het apparaat erachter. Voer de controles uit vanaf de downstream-client en het onderscheid houdt op theoretisch te zijn.

Het succes van de host bewijst niets

Verbindingsdeling geeft vier taken aan één machine: adrestoewijzing, doorsturen, vertaling en filtering. Een VPN-client die lokaal gegenereerd verkeer beschermt, kan doorgestuurd verkeer als buiten zijn bereik beschouwen, of het expres blokkeren als lek. Geen van beide gedragingen is een bug, en geen van beide staat geschreven op het scherm waarop de deling is aangezet. Alleen de test downstream vertelt je welke je hebt.

Veel clients sturen alleen het verkeer van de host door en niets anders, dus bekijk de sectie over delen in de documentatie van de client in plaats van erop te vertrouwen dat de tunnel voor de tablet routeert. Het zichtbare symptoom is een apparaat dat verbindt, een adres krijgt en dan bij het eerste verzoek faalt. Een client die weigert door te sturen, ziet er op de host nog steeds volledig gezond uit.

Welke adapter wordt gedeeld, welke bedient de clients

Noteer beide adapters, want ze dragen verschillende adressen en verschillende filters, en een wijziging op de verkeerde verklaart veel verwarrende resultaten. De deelhost neemt meestal een vast adres aan de downstream-kant en draait daar een kleine DHCP- en DNS-dienst. Windows houdt doorsturen per adapter bij in plaats van globaal, dus de status moet interface voor interface worden gelezen.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Als doorsturen op de gedeelde adapter als Uitgeschakeld staat, werkt er downstream niets, wat de tunnel ook doet. Schakel het alleen in op een machine waarvan het beleid het toestaat voor andere apparaten te routeren.

Doorsturen, vertaling en filtering

Een doorgestuurd pakket moet de tunnel bereiken, vertaald worden naar iets dat de verre kant accepteert, en via dezelfde vertaling terugkomen. Elk van die drie fasen kan breken, en elke breuk levert dezelfde browser-time-out op. Een packet capture, een route-opzoek en een log van de verre kant zijn meer waard dan nog een keer naar de deel-dialoog kijken. Welke fase faalt, is wat je vertelt wiens wijziging nodig is.

De verre kant heeft mogelijk ook een retourroute nodig voor het gedeelde subnet, een bereik dat de VPN-server nooit heeft gezien. Waar de client vertaalt, ziet de server alleen het tunneladres en is er geen retourroute nodig. Waar hij niet vertaalt, moet iemand die de gateway bezit die route bewust toevoegen, en dat is een wijzigingsverzoek, geen clientinstelling.

Voer de controles op de client uit, niet op de host

Voer elke controle uit op de client die faalt, niet op de host die werkt. Houd het egress-adres, het antwoord van de resolver en de applicatietest in dezelfde sessie, want resultaten die een uur uit elkaar zijn verzameld, zeggen niets over hoe de drie samengaan.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Vergelijk het egress-adres met dat van de host zelf en noteer of de twee overeenkomen. Een ander antwoord betekent dat het doorgestuurde pad de tunnel omzeilt, wat een beleidskwestie met een eigenaar is en geen snelle oplossing. Een overeenkomend antwoord naast een falende applicatie verplaatst het werk naar naamresolutie of naar het beleid aan de verre kant. Stop ook niet bij het IPv4-resultaat: een deling kan elke IPv4-controle doorstaan terwijl IPv6 via een andere uitgang naar buiten gaat, dus herhaal de naam- en egress-controles met het AAAA-record en de gedetailleerde verbindingstest.

Bevestig op een beheerde machine dat deling überhaupt is toegestaan, want toegang voor een ander apparaat openstellen is een administratieve beslissing en geen gemaksschakelaar. Herhaal na elke ondersteunde wijziging de controles bij opnieuw verbinden en nogmaals tijdens een storing. Een schone herverbinding van de host herstelt geen doorgestuurde route die de client nooit heeft ondersteund.