Partajezi o conexiune Windows? Calea VPN se schimbă dedesubt

Un laptop își partajează Wi-Fi-ul, gazda navighează prin tunel fără reclamații, iar tableta din acea partajare nu ajunge nicăieri. Gazda a încetat să mai fie doar un client în momentul în care partajarea a fost activată: acum este un router, iar pachetele redirecționate întâlnesc un alt set de reguli. Ce funcționează pe gazdă nu spune nimic despre dispozitivul din spatele ei. Rulează verificările din clientul din aval și distincția nu mai este teoretică.

Succesul gazdei nu dovedește nimic

Partajarea conexiunii dă patru sarcini unei singure mașini: alocarea adreselor, redirecționarea, traducerea și filtrarea. Un client VPN care protejează traficul generat local poate considera traficul redirecționat în afara domeniului său, sau îl poate bloca intenționat ca scurgere. Niciunul dintre cele două comportamente nu este un defect și niciunul nu este scris pe ecranul de unde a fost activată partajarea. Doar testul din aval îți spune care este.

Mulți clienți redirecționează doar traficul gazdei și nimic altceva, așa că verifică secțiunea de partajare din documentația clientului în loc să te bazezi pe faptul că tunelul va ruta pentru tabletă. Simptomul vizibil este un dispozitiv care se asociază, primește o adresă și apoi eșuează la prima cerere. Un client care refuză să redirecționeze arată în continuare perfect sănătos pe gazdă.

Care adaptor este partajat, care deservește clienții

Notează ambii adaptori, pentru că poartă adrese diferite și filtre diferite, iar o modificare pe cel greșit explică multe rezultate confuze. Gazda de partajare ocupă de obicei o adresă fixă pe partea din aval și rulează acolo un mic serviciu DHCP și DNS. Windows ține redirecționarea pe fiecare adaptor, nu global, așa că starea trebuie citită interfață cu interfață.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Dacă redirecționarea apare ca Dezactivată pe adaptorul partajat, nimic din aval nu va funcționa indiferent ce face tunelul. Activeaz-o doar pe o mașină a cărei politică îi permite să ruteze pentru alte dispozitive.

Redirecționare, traducere și filtrare

Un pachet redirecționat trebuie să ajungă la tunel, să fie tradus în ceva ce partea îndepărtată acceptă și să se întoarcă prin aceeași traducere. Oricare dintre cele trei etape se poate rupe, iar fiecare rupere produce același timeout al browserului. O captură de pachete, o căutare de rută și un jurnal de la partea îndepărtată valorează mai mult decât încă o trecere în revistă a dialogului de partajare. Etapa care eșuează este cea care îți spune a cui modificare este necesară.

Partea îndepărtată poate avea nevoie și de o rută de întoarcere pentru subrețeaua partajată, un interval pe care serverul VPN nu l-a văzut niciodată. Acolo unde clientul traduce, serverul vede doar adresa tunelului și nu este nevoie de rută de întoarcere. Acolo unde nu traduce, cel care deține gateway-ul trebuie să adauge acea rută în mod deliberat, iar aceasta este o cerere de modificare, nu o setare a clientului.

Fă verificările pe client, nu pe gazdă

Fă fiecare verificare pe clientul care eșuează, nu pe gazda care funcționează. Ține adresa de ieșire, răspunsul resolverului și testul aplicației în aceeași sesiune, pentru că rezultatele culese la o oră distanță nu spun nimic despre cum se combină cele trei.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Compară adresa de ieșire cu cea a gazdei și notează dacă cele două coincid. Un răspuns diferit înseamnă că calea redirecționată ocolește tunelul, ceea ce este o chestiune de politică cu un proprietar și nu o corectare rapidă. Un răspuns identic lângă o aplicație care eșuează mută munca spre rezolvarea numelor sau spre politica de pe partea îndepărtată. Nu te opri nici la rezultatul IPv4: o partajare poate trece toate verificările IPv4 în timp ce IPv6 iese printr-o altă ieșire, așa că repetă verificările de nume și de ieșire cu înregistrarea AAAA și testul detaliat al conexiunii.

Pe o mașină administrată, confirmă că partajarea este permisă, pentru că expunerea accesului către un alt dispozitiv este o decizie administrativă și nu un comutator de confort. După orice modificare acceptată, repetă verificările la reconectare și din nou în timpul unei întreruperi. O reconectare curată a gazdei nu restaurează o rută redirecționată pe care clientul nu a acceptat-o niciodată.