Роутер в режиме VPN-клиента: почему пропадают устройства LAN
Устройства LAN пропадают после перехода роутера в режим VPN-клиента: сначала проверьте функцию инспекции в пути пересылки, затем диапазон LAN, который прошивка изменила под вами.
Убеждение, что режим клиента сам по себе убивает доступ к LAN, ведёт людей в неправильное меню настроек, а настоящих причин обычно две. Туннель не удаляет мост LAN и не мешает проводным и беспроводным клиентам достигать друг друга. Локальный доступ ломает либо функция инспекции в пути пересылки роутера, либо диапазон адресов LAN, который сместился, когда это сделала прошивка. Оба дают одну и ту же жалобу, и ни одну не исправляет переустановка профиля VPN.
Миф и что на самом деле меняет режим клиента
Режим клиента добавляет интерфейс туннеля и маршрут по умолчанию, идущий через него, а затем пересылает трафик LAN в этот туннель. Мост между проводными портами и беспроводными радио модулями остаётся нетронутым, как и локальная коммутация. Меняется политика: какой трафик пересылается, где он транслируется и какой резолвер получают клиенты.
Это различие важно, потому что сломанный LAN обычно означает, что изменилась одна из трёх политик, а не то, что роутер перестал быть коммутатором. Роутер, который всё ещё отвечает на свою страницу администрирования, доказывает, что интерфейс LAN жив. У роутера, который вообще ни на что не отвечает, другая проблема, например изменённый адрес LAN или клиент в неправильной подсети.
Поэтому полезный первый шаг — выяснить, какой уровень сломался, а не менять тот уровень, который вы подозреваете.
Проверьте три цели, прежде чем трогать настройку
С проводного клиента проверьте три цели по отдельности и запишите каждый результат: собственный адрес LAN роутера, другое устройство на том же коммутаторе по IP и что-то доступное только через туннель. Делайте их в этом порядке, потому что каждый результат исключает свой уровень. На первом проходе используйте адреса, а не имена, поскольку сбой имени подмешивает DNS в вопрос о связности.
Схема ответов и есть диагноз. Роутер, который отвечает, пока локальные устройства не отвечают, указывает на локальную коммутацию или функцию фильтрации, а не на маршрутизацию. Локальные устройства, которые отвечают, пока сторона туннеля не отвечает, указывают на маршрут туннеля или удалённый межсетевой экран. Если всё отвечает по адресу, а имена не работают, это вопрос резолвера, и никакое редактирование маршрутов это не исправит.
| What answers | What it points at |
|---|---|
| Router only | LAN-side filtering or a broken bridge |
| Router and local hosts, not remote | Tunnel route, NAT or remote firewall |
| Addresses yes, names no | DNS handed to clients by the router |
| Nothing at all | Client subnet or router LAN address changed |
Держите таблицу рядом с результатами тестов. Она превращает смутную жалобу в одну строку, по которой можно действовать.
Уровень безопасности внутри пути пересылки
Потребительские роутеры всё чаще поставляются с функцией инспекции, которая следит за пересылаемым трафиком, и она работает в том же пути, который несёт пакеты из LAN в туннель. Когда эта инспекция не может классифицировать трафик туннеля, пересылка может замереть, тогда как сам туннель остаётся поднятым и роутер сообщает о здоровом соединении. В журнале VPN этого не видно, потому что VPN действительно подключился.
Диагноз — это контролируемый эксперимент, а не постоянное изменение. Запишите текущую настройку, выключите функцию на время одного теста, снова поднимите туннель и проверьте один локальный хост по адресу. Вернувшаяся пересылка — это нужное вам доказательство, и тогда компромисс становится решением, а не догадкой. Если ничего не изменилось, сразу включите её снова и переходите к причине адресации.
Оставлять платную функцию безопасности выключенной, чтобы туннель продолжал работать, — это компромисс, который нужно делать осознанно и записывать. Стоит также спросить, не должен ли туннель быть на другом устройстве, потому что роутер, который обязан всё инспектировать, и роутер, который обязан всё пересылать, — две разные задачи.
Вторая причина: диапазон LAN сместился
Обновления прошивки регулярно возвращают адрес LAN к заводскому значению производителя, а у некоторых роутеров есть явный переключатель режима, который решает, сохраняет ли LAN частный диапазон или наследует его от устройства выше. Клиент, ожидающий 192.168.8.x, может оказаться на 10.64.0.x, и тогда SSH-сеанс к хосту истекает, хотя туннель совершенно здоров.
ipconfig /all
ip addr show
ip route get 192.168.8.20Прочитайте префикс и шлюз из аренды, прежде чем открывать страницу роутера. Первые две команды показывают, что клиент действительно получил, а третья показывает, какой интерфейс клиент использовал бы для локального адреса, и именно так обнаруживает себя оставшийся маршрут или устаревшая подсеть. Затем сравните это со страницей LAN и режимом, в котором находится роутер.
Если диапазон не может вернуться, обновите каждый объект, который его называет: резервирования DHCP, любой статический маршрут в старую подсеть и каждое правило межсетевого экрана с прежним префиксом. Диапазон, конфликтующий с удалённой подсетью туннеля, — худший вариант, потому что локальные устройства остаются доступными, а удалённые назначения тихо направляются не туда, в LAN.
Переподключитесь и проверьте заново в порядке пакетов
После любого из двух изменений переподключите туннель и повторите тесты в порядке пакетов: роутер, локальный хост, удалённый хост, затем имена, затем приложение. Проверка приложения первой скрывает, какой уровень ещё сломан, а повторная попытка браузера по кэшированному имени может выглядеть как сбой маршрутизации.
Запишите версию прошивки, префикс LAN и состояние функции инспекции рядом с профилем VPN. Все три — это конфигурация, которую следующее обновление может перезаписать, и две строки заметок экономят час, который вы только что потратили.