Delar du ei Windows-tilkopling? VPN-ruta endrar seg under ho

Ein berbar PC deler Wi-Fi-en sin, verten surfar gjennom tunnelen utan klager, og nettbrettet på den delinga når ingenting. Verten slutta å vere berre ein klient i det augneblinken delinga vart slått på: han er no ein ruter, og videresende pakkar møter eit anna sett reglar. Det som verkar på verten, seier ingenting om eininga bak han. Køyr kontrollane frå klienten nedstraums, og skilnaden sluttar å vere teoretisk.

Suksessen til verten beviser ingenting

Tilkoplingsdeling gjev fire oppgåver til éin maskin: tildeling av adresser, videresending, omsetjing og filtrering. Ein VPN-klient som vernar lokalt generert trafikk kan sjå på videresend trafikk som utanfor sitt område, eller blokkere han med vilje som ein lekkasje. Ingen av dei to åtferdene er ein feil, og ingen av dei står skriven på skjermen der delinga vart slått på. Berre testen nedstraums fortel deg kva du har.

Mange klientar videresender berre trafikken til verten og ingenting anna, så sjekk delingsavsnittet i dokumentasjonen til klienten i staden for å stole på at tunnelen rutar for nettbrettet. Det synlege symptomet er ei eining som koplar til, får ei adresse og deretter feilar på den første førespurnaden. Ein klient som nektar å videresende ser framleis heilt sunn ut på verten.

Kva adapter vert delt, kven tenar klientane

Noter begge adapterane, fordi dei har ulike adresser og ulike filter, og ei endring på den feile forklarer mange forvirrande resultat. Delingsverten tek vanlegvis ei fast adresse på nedstraumssida og køyrer ein liten DHCP- og DNS-teneste der. Windows held videresending per adapter i staden for globalt, så tilstanden må lesast grensesnitt for grensesnitt.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Viss videresending står som Deaktivert på den delte adapteren, vil ingenting nedstraums fungere uansett kva tunnelen gjer. Slå det berre på på ein maskin der policyen tillèt han å rute for andre einingar.

Videresending, omsetjing og filtrering

Ein videresend pakke må nå tunnelen, omsetjast til noko den fjerne sida godtek, og kome tilbake gjennom den same omsetjinga. Kvar av dei tre trinna kan bryte, og kvart brot gjev den same nettlesartidsavbrotet. Ein pakkefangst, eit rutesøk og ein logg frå den fjerne sida er verdt meir enn nok ein gjennomgang av delingsdialogen. Kva trinn som feilar, er det som fortel kven si endring som trengst.

Den fjerne sida kan òg trenge ei returrute for det delte subnettet, eit område VPN-tenaren aldri har sett. Der klienten omset, ser tenaren berre tunneladressa, og inga returrute er nødvendig. Der han ikkje omset, må den som eig gatewayen leggje til ruta med vilje, og det er ein endringsførespurnad, ikkje ei klientinnstilling.

Køyr kontrollane på klienten, ikkje på verten

Køyr kvar kontroll på klienten som feilar, ikkje på verten som verkar. Hald egress-adressa, svaret frå resolvaren og applikasjonstesten i same økt, fordi resultat samla ein time frå kvarandre seier ingenting om korleis dei tre kombinerast.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Samanlikn egress-adressa med verten si eiga og noter om dei to stemmer. Eit anna svar tyder på at den videresende vegen går utanom tunnelen, noko som er eit policy-spørsmål med ein eigar og ikkje ei rask retting. Eit samsvarande svar ved sida av ein feilande applikasjon flyttar arbeidet til namneoppslag eller til policyen på den fjerne sida. Ikkje stopp ved IPv4-resultatet heller: ei deling kan bestå kvar IPv4-kontroll medan IPv6 går ut gjennom ein annan utgang, så gjenta namne- og egress-kontrollane med AAAA-posten og den detaljerte tilkoplings-testen.

På ein administrert maskin, stadfest at deling i det heile er tillaten, fordi å eksponere tilgang til ei anna eining er ei administrativ avgjerd og ikkje ein komfortbrytar. Etter kvar støtta endring, gjenta kontrollane ved attkopling og igjen under eit avbrot. At verten koplar reint til på nytt, gjenopprettar ikkje ei videresend rute som klienten aldri har støtta.