Zdieľate pripojenie Windows? Cesta VPN sa pod ním mení

Notebook zdieľa svoje Wi-Fi, hostiteľ bez sťažností prehliada tunelom a tablet na tomto zdieľaní sa nikam nedostane. Hostiteľ prestal byť iba klientom v okamihu, keď sa zdieľanie zaplo: teraz je to router a preposielané pakety stretávajú inú sadu pravidiel. To, čo funguje na hostiteľovi, nič nehovorí o zariadení za ním. Spustite kontroly z nižšie položeného klienta a rozdiel prestane byť teoretický.

Úspech hostiteľa nič nedokazuje

Zdieľanie pripojenia dáva jednému stroju štyri úlohy: prideľovanie adries, preposielanie, preklad a filtrovanie. Klient VPN, ktorý chráni lokálne vytváranú prevádzku, môže považovať preposielanú prevádzku za mimo svojho rozsahu, alebo ju zámerne blokovať ako únik. Ani jedno správanie nie je chyba a ani jedno nie je napísané na obrazovke, kde sa zdieľanie zaplo. Iba test z nižšieho zariadenia vám povie, ktoré máte.

Mnohí klienti preposielajú iba prevádzku hostiteľa a nič iné, preto si prečítajte sekciu o zdieľaní v dokumentácii klienta, namiesto toho, aby ste verili, že tunel bude routovať za tablet. Viditeľným príznakom je zariadenie, ktoré sa pridruží, dostane adresu a potom zlyhá pri prvej požiadavke. Klient, ktorý odmieta preposielať, na hostiteľovi stále vyzerá úplne zdravo.

Ktorý adaptér sa zdieľa, ktorý obsluhuje klientov

Zapíšte oba adaptéry, pretože nesú rôzne adresy a rôzne filtre, a zmena na tom nesprávnom vysvetľuje mnoho mätúcich výsledkov. Hostiteľ zdieľania zvyčajne zaujíma pevnú adresu na spodnej strane a prevádzkuje tam malú službu DHCP a DNS. Windows drží preposielanie po adaptéroch, nie globálne, takže stav sa musí čítať rozhranie po rozhraní.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Ak je preposielanie na zdieľanom adaptéri zobrazené ako Zakázané, nič nižšie nebude fungovať, nech tunel robí čokoľvek. Zapnite ho len na stroji, ktorého politika mu to dovoľuje routovať za iné zariadenia.

Preposielanie, preklad a filtrovanie

Preposielaný paket musí dosiahnuť tunel, byť preložený na niečo, čo vzdialená strana prijme, a vrátiť sa tou istou prekladovou cestou. Ktorákoľvek z tých troch fáz sa môže pokaziť a každá porucha dá rovnaký timeout prehliadača. Zachytenie paketov, hľadanie trasy a log zo vzdialenej strany majú väčšiu cenu než ďalšia prehliadka dialógu zdieľania. Práve to, ktorá fáza zlyháva, ukazuje, čia zmena je potrebná.

Vzdialená strana môže tiež potrebovať spätnú trasu pre zdieľanú podsietu, rozsah, ktorý server VPN nikdy nevidel. Kde klient prekladá, vidí server iba adresu tunela a spätná trasa nie je potrebná. Kde neprekladá, musí ten, kto vlastní bránu, tú trasu vedome pridať, a to je žiadosť o zmenu, nie nastavenie klienta.

Kontroly robte na klientovi, nie na hostiteľovi

Každú kontrolu robte na klientovi, ktorý zlyháva, nie na hostiteľovi, ktorý funguje. Držte východiskovú adresu, odpoveď prekladača a test aplikácie v jednej relácii, pretože výsledky zozbierané s hodinovým odstupom nič nehovoria o tom, ako sa všetky tri kombinujú.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Porovnajte východiskovú adresu s vlastnou adresou hostiteľa a poznamenajte, či sa zhodujú. Iná odpoveď znamená, že preposielaná cesta obchádza tunel, čo je otázka politiky s vlastníkom, nie rýchla oprava. Zhodná odpoveď vedľa zlyhávajúcej aplikácie presúva prácu na preklad mien alebo na politiku vzdialenej strany. Nezastavujte sa ani pri výsledku IPv4: zdieľanie môže prejsť každou kontrolou IPv4, kým IPv6 vychádza iným výstupom, takže zopakujte kontroly mien a výstupu so záznamom AAAA a podrobným testom spojenia.

Na spravovanom stroji potvrďte, že zdieľanie je vôbec povolené, pretože sprístupnenie prístupu inému zariadeniu je administratívne rozhodnutie, nie prepínač pohodlia. Po každej podporovanej zmene zopakujte kontroly pri opätovnom pripojení a znova počas výpadku. Čisté opätovné pripojenie hostiteľa neobnoví preposielanú trasu, ktorú klient nikdy nepodporoval.