VPN je pripojená, ale IP adresa sa nezmenila: prečo

Pripojíte sa, klient hlási pripojené a test adresy stále ukazuje rovnaké číslo ako predtým. S indikátorom nie je nič zlé; niečo medzi profilom a aplikáciou nechalo tú požiadavku mimo tunela. Rozhodnite, na ktorú z troch vecí sa pozeráte, skôr než sa dotknete akéhokoľvek nastavenia: test, ktorý nikdy nezmeral verejnú adresu, tunel, ktorý pokrýva len časť prevádzky, alebo druhá cesta, ktorá vyhráva rozhodnutie o smerovaní. Každá má jednu kontrolu, ktorá trvá menej ako minútu.

Potvrďte, čo test skutočne zmeral

Adresa v dialógu Wi-Fi alebo Ethernet je adresa rozhrania na vašom vlastnom segmente, nie adresa, ktorú vidí webová stránka, takže môže zostať rovnaká, aj keď tunel funguje dokonale. Poloha je zas samostatný signál: uložený región účtu alebo povolené načítanie geolokácie sa pri zmene výstupu nepohnú a ani prihlásenie, ktoré vás už pozná.

Použite ozvenu verejnej adresy a pýtajte sa každú rodinu zvlášť, pretože výsledok testu s duálnym stackom skrýva ten zaujímavý prípad:

curl -4 -s https://ifconfig.me
curl -6 -s https://ifconfig.me

Spustite oba pred pripojením aj po ňom. Ak sa odpoveď IPv4 zmení na výstupnú adresu a odpoveď IPv6 nie, nemáte pokazený tunel; jedna rodina ide mimo neho. Ak obe odpovede zostanú rovnaké, požiadavka sa do tunela vôbec nedostala a zvyšok tu platí.

Profil môže pokrývať len časť prevádzky

Profil s rozdeleným tunelom je bežná odpoveď a nie je to závada. OpenVPN posiela všetko tunelom len vtedy, keď je redirect-gateway medzi odovzdanými možnosťami; bez neho klient dostane hŕstku konkrétnych trás a vaša predvolená trasa zostane na fyzickom spojení. V Windows sa ten istý prepínač objavuje ako „Použiť predvolenú bránu vo vzdialenej sieti“ vo vlastnostiach IPv4 adaptéra a jeho zrušenie je vedomá voľba, ktorá prežije každé opätovné pripojenie.

Rozsah podľa aplikácií je druhá vrstva. Nastavenie VPN pre jednotlivé aplikácie v Androide rozhoduje, ktoré aplikácie sú zahrnuté, takže kľúč VPN v stavovom riadku nedokazuje, že prehliadač je vnútri. Rozšírenie prehliadača, ktoré proxuje vlastnú prevádzku, vytvára zrkadlový obraz: prehliadač ukazuje výstupnú adresu, zatiaľ čo poštový klient alebo hra na tom istom počítači ukazuje stále vašu. Porovnajte tú istú požiadavku v dvoch aplikáciách. Ak sa jedna zmení a druhá nie, pozeráte sa na rozsah, nie na zlyhávajúci tunel.

Jedna rodina adries môže stále ísť priamo

Väčšina profilov VPN je písaná pre IPv4 a mnohé tak stále sú. V sieti s duálnym stackom tunel berie 10.8.0.x pre IPv4, zatiaľ čo fyzické spojenie si drží globálnu adresu IPv6 a predvolenú trasu, takže stránka s podporou IPv6 je dosiahnutá priamo a adresa, ktorú hlási, je adresa vášho poskytovateľa. To je únik pri funkčnom tuneli IPv4 a je neviditeľný pre test, ktorý hovorí len IPv4.

ip -4 route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Prečítajte rozhranie v každej odpovedi. Ak vyhľadávanie IPv6 pomenuje vaše zariadenie Ethernet alebo Wi-Fi, zatiaľ čo vyhľadávanie IPv4 pomenuje tunel, politika pre tú rodinu chýba, nie je pokazená. Vypnutie IPv6 na celom zariadení odstráni príznak a skryje rozhodnutie; radšej opravte pokrytie profilu alebo zakážte rodinu len na tom jednom pripojení a poznamenajte si, ktorú z dvoch možností ste zvolili.

Druhá cesta môže vyhrať vyhľadávanie

Konkurenčné proxy, druhý klient VPN, virtuálny adaptér z kontajnera alebo nástroja vzdialenej plochy, alebo extra trasa pre presný prefix, ktorý testujete, môžu všetky dostať prednosť. Konkrétna trasa vždy porazí predvolenú trasu, takže zostávajúca /24 pre stránku, ktorú meriate, ukazujúca na vašu bránu LAN, posiela tú prevádzku mimo tunela, nech je tunel akokoľvek zdravý.

Pred zmenou čohokoľvek urobte súpis pomocou príkazov len na čítanie:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
nmcli connection show --active

Hľadajte viac ako jednu predvolenú trasu s vierohodnou metrikou a konkrétnu trasu pokrývajúcu cieľ. V prehliadači tiež skontrolujte, či spojenie vlastní rozšírenie proxy alebo systémové nastavenie proxy; rozšírenie môže pomenovať svoj vlastný upstream a nechať výstup operačného systému nedotknutý, čo dáva inú adresu v prehliadači než v termináli na tom istom počítači.

Zmerajte znova s čerstvou požiadavkou

Pripojte sa znova a potom zopakujte meranie z tej istej aplikácie, ktorou ste testovali prvýkrát, pretože uložená stránka alebo znova použitá komunikácia hlási starý stav. Sledujte log alebo zobrazenie udalostí klienta počas pripájania: chyba pri aplikovaní trás po autentifikácii je silnejší dôkaz než akýkoľvek indikátor a zvyčajne pomenuje trasu alebo adaptér, ktorý zlyhal.

Držte dva výsledky oddelene. Ak sa adresa zmení, ale jedna stránka vás stále odmieta, tunel funguje a stránka odmieta adresu dátového centra; to je iný problém s inou odpoveďou. Ak sa adresa nikdy nezmení, prejdite štyri otázky po poradí: ktorú adresu test vypísal, ktorá rodina to bola, ktorá aplikácia požiadavku odoslala a ktorou trasou tá požiadavka išla. Dokumentácia Microsoftu k rozhodnutiam o smerovaní VPN vysvetľuje, ako klient Windows volí medzi tunelom a fyzickým adaptérom, keď oba majú trasu.