General failure ved ping mot en LAN-adresse med VPN-klienten på

Én vertsrute, én adresse, og ping mislykkes umiddelbart med General failure i stedet for at forespørselen går ut på tid. Den forskjellen er hele diagnosen. En tidsavbrudd betyr at pakken forlot maskinen og at noe ignorerte den. General failure betyr at Windows ikke kunne levere pakken til noen grensesnitt i det hele tatt.

Så når rutetabellen ser perfekt ut og feilen fortsatt er General failure, skjer blokkeringen under rutingsbeslutningen, og leverandørens klient er det som virker der.

Les feilen før rutetabellen

Windows returnerer den feilen når den ikke finner et grensesnitt å sende på, og den sier ingenting om hva destinasjonen ville ha gjort med pakken. Tilgjengelighet, brannmurer i den andre enden og tjenestens tilgjengelighet er alle senere spørsmål du ennå ikke har nådd.

Den klassiske konfigurasjonen for dette tilfellet er en vertsrute som peker én enkelt LAN-adresse mot den fysiske gatewayen, slik at den går utenom tunnelen. route add godtar den, route print viser den, og ping mislykkes fortsatt, fordi filterdriveren allerede har bestemt at pakken ikke får gå ut.

Før du godtar den forklaringen, må du bekrefte at ruten faktisk blir valgt: kontroller grensesnittindeksen og metrikken, og sørg for at oppføringen ikke er utdatert etter en gjenoppkobling. En rute som peker på et grensesnitt som ikke finnes lenger, gir en lignende feil av en mye mindre interessant grunn.

Tre lag, tre forskjellige eiere

Det laget som vinner er det som kjører sist, og disse tre står ikke i den rekkefølgen folk flest antar.

Det midterste laget er grunnen til at en rute kan være både riktig og ubrukelig samtidig. Leverandørklienter installerer et filter og brannmurregler slik at trafikk utenfor tunnelen blir forkastet, og det er den samme mekanismen som implementerer kill switch-en deres. Ingenting i rutetabellen deltar i den beslutningen.

Det tredje laget forklarer en merkelig rapport som kommer regelmessig: det lokale subnettet er ikke tilgjengelig selv etter at klienten er frakoblet. Tjenesten kjører fortsatt og filteret er fortsatt installert, så ikke tilkoblet er ikke det samme som ikke filtrerende. Avslutt klienten i stedet for bare å koble den fra før du konkluderer med noe.

Hva du bør prøve, i rekkefølge

Begynn med å fjerne funksjonene som er billige å fjerne og enkle å gjenopprette. LAN-oppdagelse, noen ganger kalt usynlighet på LAN-et, blokkerer trafikk til private adresseområder slik at maskinen holder seg skjult for naboene. Skrivere, lokale filservere og selve ruteren forsvinner bak den bryteren. Trusselbeskyttelsesfunksjoner som filtrerer DNS installerer sine egne kroker og rapporteres å bryte lokal tilgjengelighet på omtrent samme måte.

Slå begge av, avslutt klienten helt og test deretter adressen. Den rekkefølgen skiller en funksjon som blokkerer trafikk fra en tunnel som ruter den feil, og den tar to minutter i stedet for en hel ettermiddag med statiske ruter.

ping 192.168.1.50
tracert -d 192.168.1.50
route print -4

Hvis adressen svarer når funksjonene er slått av, har du en policybeslutning og ikke en feil: velg mellom å la funksjonen være av, legge til et unntak eller godta at maskinen forblir usynlig på det lokale nettet.

Bruk klientens unntakssti, snevert

Når en funksjon må være på, er klientens egen delte tunnelering den støttede veien ut. Hold unntaket så lite som kravet tillater, noe som vanligvis betyr én vertsadresse for én server eller ett prefiks for ett enkelt segment. En regel som dekker et helt privat område er et permanent hull som ingen vil huske å ha lagt til og ingen vil våge å fjerne.

Deretter verifiserer du først etter adresse og så etter navn. Hvis adressen svarer med første hopp på den fysiske gatewayen, virker unntaket. Hvis navnet fortsatt feiler, har du flyttet deg til DNS, fordi tunnelens resolver ikke kjenner den lokale sonen og ingen rutingsendring vil lære den det.

Behold ruten eller unntaket, ikke begge, pluss et notat om hvilken som gjør jobben. To overlappende mekanismer skjuler hverandre, og den neste som feilsøker denne maskinen vil fjerne en av dem og ikke se noen endring.

Når klienten er hindringen

Noen bygg filtrerer trafikk på måter som verken en statisk rute eller et klientunntak kan beseire. Når det er funnet, er de ærlige alternativene å vente på omgåelsesfunksjonen eller å koble til med en vanlig OpenVPN-klient med leverandørens egen profil, som var det leverandørens støttesvar anbefalte i den opprinnelige rapporten.

Forstå byttet før du gjør den erstatningen. En vanlig profil oppfører seg som enhver ordinær tunnel: den installerer rutene sine og bygger ikke om resten av stakken, så en smal vertsrute oppfører seg fortsatt slik du forventer. Det du mister er alt den merkede klienten implementerte rundt tunnelen, inkludert kill switch og DNS-filtrering, og det må bevisst gjenskapes eller godtas som fraværende.

Uansett hva du velger, noter hvilket lag som eide blokkeringen. En pakke som aldri forlot maskinen er et filterresultat, og ingen rutingsendring kan reparere et filter.