Žiadny internet na Windows VPN? Podozrivý je fond adries

Windows zobrazuje tunel ako pripojený a označuje ho štítkom Žiadny prístup na internet, čo ľudia čítajú ako zvláštnosť Windows. Je to tvrdenie o tom, čo klient dostal: žiadna použiteľná predvolená brána, žiadny fungujúci prekladač alebo žiadna cesta späť pre adresy vnútri tunela. Keď je server Windows Incoming Connection, jedno nastavenie vysvetľuje väčšinu takýchto hlásení. Štítok nie je diagnóza, ale zúži hľadanie na tri miesta.

Prečítajte si prenájom, skôr než ho zmeníte

Spustite ipconfig /all na klientovi a nájdite adaptér VPN medzi záznamami. Adresa, predvolená brána a server DNS, ktoré uvádza, sú fakty, ktoré potrebujete, a často sa líšia od toho, čo správca predpokladá, že bolo pridelené.

Tri vzory zodpovedajú trom poruchám. Adresa v 169.254.0.0/16 znamená, že klient nedostal nič a sám si pridelil link-local adresu. Pravdepodobná adresa bez brány znamená, že fond bol poskytnutý bez voľby, ktorá klientovi dáva predvolenú trasu. Úplný prenájom, ktorý napriek tomu nikam nedorazí, ukazuje na preposielanie alebo preklad na strane servera.

Zapíšte hodnoty, ktoré ste dostali, skôr než sa dotknete servera. Ďalší krok ich porovná s rozsahom, o ktorom si server myslí, že ho prideľuje, a pamäť je zlá náhrada prenájmu.

Prečo automatické prideľovanie môže nechať bez brány

Záznam Incoming Connections má vlastné vlastnosti IPv4, oddelené od fyzického adaptéra. Predvolené nastavenie tam ponúka automatické prideľovanie adries, ktoré sa spolieha na vstavaný prideľovač pripojenia, aby poskytol adresu, masku, bránu a DNS.

Na samostatnej pracovnej stanici ten prideľovač nemá rozsah, z ktorého by čerpal, ak niečo iné na stroji neposkytne jeden, takže klient môže skončiť s link-local adresou alebo s adresou, ale bez brány. Pripojenie vyzerá nadviazané, pretože sa spojenie zdvihlo, zatiaľ čo konfigurácia za ním je neúplná.

Preto prepnutie na zadaný rozsah opravuje toľko z týchto hlásení. Prestávate žiadať službu, ktorá možno nebeží, aby vymyslela prenájom, a začínate prenájom uvádzať sami.

Rovnaký zmätok sa objaví, keď niekto očakáva, že server DHCP routera LAN bude obsluhovať klientov tunela. Zisťovanie vysielaním neprechádza smerovaným tunelom, takže ten server nikdy nevidí požiadavku. Predpokladať opak je najčastejší dôvod, prečo je fond obviňovaný za klienta, ktorý ho nikdy o nič nepožiadal.

Nastavte výslovný rozsah, ktorý server dokáže smerovať

Vyberte malý blok v podsieti, ktorú server dosiahne, mimo rozsahu, ktorý prideľuje router LAN, a mimo akéhokoľvek iného fondu v sieti. Ak server sedí na 172.20.10.0/24 a router má 172.20.10.1, krátky blok pri hornej časti tej podsiete, povedzme od 172.20.10.201 do 172.20.10.209, drží prenájmy tunela ďaleko od prideľovania, ktoré router už spravuje.

Zadajte ho vo vlastnostiach IPv4 Incoming Connection, znova pripojte klienta a prečítajte adaptér ešte raz, skôr než zmeníte čokoľvek iné. Druhé čítanie vám povie, či fond bol poruchou alebo len jednou z viacerých.

Tieto príkazy vypíšu výslednú konfiguráciu a trasy, ktoré klient teraz má:

ipconfig /all
route print -4
Get-NetIPConfiguration -InterfaceAlias \"Incoming Connection\"

Brána v prenájme by mala byť adresa, ktorú server vlastní, a predvolená trasa klienta by mala na ňu ukazovať. Ak je prenájom úplný, ale neexistuje žiadna trasa, server pridelil bez vytlačenia brány, a nastavenia fondu sú stále miesto, kde hľadať.

Adresa nie je cesta na internet

Prijatie prenájmu iba presúva pakety od klienta k serveru. Pre prístup na internet musí server tieto pakety preposielať a prekladať ich smerom k vlastnému uplinku, a to je samostatná konfigurácia s vlastnými režimami zlyhania.

Internet Connection Sharing je skratka. Premení adaptér obrátený k internetu na zdieľanú bránu a vedie vlastné adresovanie, čo môže prepísať adresu tohto adaptéra a nechať existujúce pravidlo NAT ukazovať na hodnotu, ktorá už neexistuje. Zapíšte pôvodné nastavenia pred jeho zapnutím.

Smerovaná alternatíva udržiava adresovanie stabilné a žiada vás výslovne nakonfigurovať preposielanie a preklad. Ani jeden prístup nie je nesprávny; miešanie na polovicu vytvára tunel s prenájmom a bez výstupu, čo je presne príznak, s ktorým ste začali. Vyberte jeden model a dokončite ho, skôr než pridáte druhý.

Najprv vylúčte vonkajšiu cestu

Žiadny fond nepomôže, ak sa tunel nikdy nevytvorí. Protokol rozhoduje, čo musí cesta niesť: PPTP chce TCP 1723 a GRE, čo je IP protokol 47, nie port; L2TP/IPsec chce UDP 1701 plus 500 a 4500; SSTP chce TCP 443.

Router, ktorý preposiela port, ale nie protokol, vytvára pokus o pripojenie, ktorý sa nikdy neautentifikuje. Je to iná porucha ako tunel, ktorý sa vytvorí a potom nikam nedorazí, a obe by sa nemali ladit súčasne.

Testujte z tej istej LAN a zo vzdialenej siete. Ak pokus z LAN funguje a vzdialený sa nikdy nedostane k autentifikácii, problémom je vonkajšia cesta. Ak sa oba autentifikujú a iba vzdialený klient nemá internet, vráťte sa k fondu a výstupu.