Compartilha uma conexão Windows? O caminho da VPN muda por baixo

Um portátil compartilha o seu Wi-Fi, o host navega pelo túnel sem queixas e o tablet nessa partilha não chega a nada. O host deixou de ser apenas um cliente no momento em que a partilha foi ativada: agora é um roteador, e os pacotes encaminhados encontram um conjunto de regras diferente. O que funciona no host não diz nada sobre o dispositivo por trás dele. Execute as verificações a partir do cliente a jusante e a distinção deixa de ser teórica.

O sucesso do host não prova nada

A partilha de conexão entrega quatro tarefas a uma máquina: atribuição de endereços, encaminhamento, tradução e filtragem. Um cliente VPN que protege o tráfego gerado localmente pode considerar o tráfego encaminhado fora do seu âmbito, ou bloqueá-lo de propósito como fuga. Nenhum dos dois comportamentos é um erro, e nenhum está escrito no ecrã onde a partilha foi ativada. Só o teste a jusante diz qual tem.

Muitos clientes encaminham apenas o tráfego do host e mais nada, por isso consulte a secção de partilha na documentação do cliente em vez de confiar que o túnel vai encaminhar pelo tablet. O sintoma visível é um dispositivo que se associa, recebe um endereço e depois falha no primeiro pedido. Um cliente que recusa encaminhar continua a parecer perfeitamente saudável no host.

Qual adaptador é partilhado, qual serve os clientes

Registe os dois adaptadores, porque transportam endereços diferentes e filtros diferentes, e uma alteração no errado explica muitos resultados confusos. O host da partilha costuma assumir um endereço fixo do lado a jusante e aí executa um pequeno serviço DHCP e DNS. O Windows mantém o encaminhamento por adaptador e não de forma global, por isso o estado tem de ser lido interface a interface.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Se o encaminhamento aparecer como Desativado no adaptador partilhado, nada a jusante funcionará independentemente do que o túnel faça. Ative-o apenas numa máquina cuja política o permita encaminhar por outros dispositivos.

Encaminhamento, tradução e filtragem

Um pacote encaminhado tem de chegar ao túnel, ser traduzido em algo que o lado remoto aceite e voltar pela mesma tradução. Qualquer destas três fases pode quebrar, e cada quebra produz o mesmo tempo limite do navegador. Uma captura de pacotes, uma consulta de rotas e um registo do lado remoto valem mais do que mais uma revisão da caixa de diálogo de partilha. É a fase que falha que diz de quem é a alteração necessária.

O lado remoto pode também precisar de uma rota de retorno para a sub-rede partilhada, um intervalo que o servidor VPN nunca viu. Onde o cliente traduz, o servidor vê apenas o endereço do túnel e não é necessária rota de retorno. Onde não traduz, quem possui a gateway tem de acrescentar essa rota deliberadamente, e isso é um pedido de alteração, não uma definição do cliente.

Faça as verificações no cliente, não no host

Faça cada verificação no cliente que falha, não no host que funciona. Mantenha o endereço de saída, a resposta do resolvedor e o teste da aplicação na mesma sessão, porque resultados recolhidos com uma hora de diferença não dizem nada sobre como os três se combinam.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Compare o endereço de saída com o do próprio host e registe se os dois coincidem. Uma resposta diferente significa que o caminho encaminhado contorna o túnel, o que é uma questão de política com responsável e não uma correção rápida. Uma resposta coincidente ao lado de uma aplicação que falha desloca o trabalho para a resolução de nomes ou para a política do lado remoto. Também não pare no resultado IPv4: uma partilha pode passar todas as verificações IPv4 enquanto o IPv6 sai por outra saída, por isso repita as verificações de nomes e de saída com o registo AAAA e o teste de ligação detalhado.

Numa máquina gerida, confirme que a partilha é permitida, porque expor o acesso a outro dispositivo é uma decisão administrativa e não um interruptor de conveniência. Depois de qualquer alteração suportada, repita as verificações ao reconectar e de novo durante uma interrupção. Uma reconexão limpa do host não restaura uma rota encaminhada que o cliente nunca suportou.