Раздаёте подключение Windows? Путь VPN под ним меняется

Общий адаптер превращает компьютер в маршрутизатор, и перенаправленный трафик идёт другим путём, чем приложения на хосте. Проверяйте с клиента, а не с хоста.

Ноутбук раздаёт свой Wi-Fi, хост без жалоб просматривает сайты через туннель, а планшет в этой раздаче ничего не достигает. Хост перестал быть просто клиентом в тот момент, когда включили общий доступ: теперь это маршрутизатор, и перенаправленные пакеты встречают другой набор правил. То, что работает на хосте, ничего не говорит об устройстве за ним. Запустите проверки с нижестоящего клиента, и различие перестанет быть теоретическим.

Успех хоста ничего не доказывает

Общий доступ к подключению даёт одной машине четыре задачи: назначение адресов, пересылку, трансляцию и фильтрацию. VPN-клиент, который защищает локально созданный трафик, может считать перенаправленный трафик вне своей области, или намеренно блокировать его как утечку. Ни одно из этих поведений не является ошибкой, и ни одно не написано на экране, где включали общий доступ. Только проверка снизу скажет, какое у вас.

Многие клиенты пересылают только трафик хоста и ничего больше, поэтому смотрите раздел об общем доступе в документации клиента, а не полагайтесь на то, что туннель будет маршрутизировать за планшет. Видимый симптом — устройство, которое подключается, получает адрес и затем терпит неудачу при первом запросе. Клиент, который отказывается пересылать, по-прежнему выглядит на хосте совершенно здоровым.

Какой адаптер общий, какой обслуживает клиентов

Запишите оба адаптера, потому что они несут разные адреса и разные фильтры, а изменение не на том объясняет много запутанных результатов. Хост общего доступа обычно занимает фиксированный адрес на нижней стороне и запускает там небольшую службу DHCP и DNS. Windows хранит пересылку по адаптерам, а не глобально, поэтому состояние нужно читать интерфейс за интерфейсом.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Если пересылка на общем адаптере отображается как Отключена, ниже ничего не будет работать, что бы ни делал туннель. Включайте её только на машине, политика которой разрешает ей маршрутизировать для других устройств.

Пересылка, трансляция и фильтрация

Перенаправленный пакет должен дойти до туннеля, быть переведён во что-то, что принимает дальняя сторона, и вернуться через тот же перевод. Любой из этих трёх этапов может сломаться, и каждый сбой даёт один и тот же тайм-аут браузера. Захват пакетов, поиск маршрута и журнал с дальней стороны ценнее очередного просмотра диалога общего доступа. Именно то, какой этап сбоит, говорит, чья нужна правка.

Дальней стороне может понадобиться и обратный маршрут для общей подсети — диапазон, которого VPN-сервер никогда не видел. Там, где клиент транслирует, сервер видит только адрес туннеля, и обратный маршрут не нужен. Там, где он не транслирует, владелец шлюза должен намеренно добавить этот маршрут, и это запрос на изменение, а не настройка клиента.

Выполняйте проверки на клиенте, а не на хосте

Каждую проверку выполняйте на клиенте, который сбоит, а не на хосте, который работает. Держите адрес выхода, ответ резолвера и тест приложения в одной сессии, потому что результаты, собранные с разницей в час, ничего не говорят о том, как сочетаются все три.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Сравните адрес выхода с собственным адресом хоста и отметьте, совпадают ли они. Другой ответ означает, что перенаправленный путь обходит туннель, а это вопрос политики с владельцем, а не быстрая правка. Совпадающий ответ рядом со сбоящим приложением переносит работу на разрешение имён или на политику дальней стороны. Не останавливайтесь и на результате IPv4: общий доступ может пройти все проверки IPv4, пока IPv6 выходит через другой выход, поэтому повторите проверки имён и выхода с записью AAAA и подробным тестом подключения.

На управляемой машине подтвердите, что общий доступ вообще разрешён, потому что открытие доступа другому устройству — административное решение, а не переключатель удобства. После любого поддерживаемого изменения повторите проверки при переподключении и ещё раз во время сбоя. Чистое переподключение хоста не восстанавливает перенаправленный маршрут, который клиент никогда не поддерживал.

Похожие статьи