Zakaj predvajanje preneha delovati po vklopu VPN na usmerjevalniku
Odkrivanje poteka po link-local multicast, medtem ko televizor medije prenaša sam. Privzeto pravilo politike lahko ujame zahtevo LAN in jo pošlje v tunel.
Predvajanje je delovalo pred vklopom VPN na usmerjevalniku in odpove takoj za tem, medtem ko običajno brskanje na telefonu še deluje. Dejstvi sta skladni, ker predvajanje ni ena sama povezava. Telefon odkrije in upravlja sprejemnik po lokalnem omrežju, nato pa sprejemnik medije prenese po svoji povezavi.
Dve poti, ki odpovesta različno
Upravljalna pot je lokalna. Telefon najde sprejemnik tako, da vpraša lokalno omrežje, nato odpre upravljalno povezavo na naslov, ki se ga je naučil. Če se sprejemnik nikoli ne pojavi na seznamu, je korak odkrivanja spodletel, še preden so bili zahtevani kakšni mediji.
Pot medijev ni nujno lokalna. Mnogi sprejemniki pretakajo tok sami, po svoji povezavi in s svojimi poverilnicami, zato pot telefona ne opisuje poti sprejemnika. Telefon, ki je videti, da uporablja en izhod, ne pove nič o tem, kam gre promet televizorja.
Prav ta delitev naredi napako čudno. Tunel je spremenil usmerjevalno tabelo telefona in ni spremenil tiste pri televizorju, zato je treba simptom, ki se pokaže na eni strani para, iskati na tisti strani. Preiskovanje napačne naprave je običajen razlog, da popravek očitno ne naredi ničesar.
Zakaj odkrivanje odpove prvo
Odkrivanje običajno poteka po link-local multicast. mDNS pošilja na 224.0.0.251 na vrata UDP 5353, SSDP pa na 239.255.255.250 na vrata UDP 1900. Oba sta po zasnovi omejena na eno povezavo, zato ju usmerjevalnik ne posreduje med segmenti brez pomoči ponavljalnika ali posrednika. Usmerjeni VPN ne razširi skupine multicast, pot politike pa ne more narediti, da bi se skupina, ki povezave ni nikoli zapustila, pojavila na drugi.
Prva napaka torej nima nič opraviti s šifriranjem. Multicast telefona zapusti vmesnik, s katerega je bil poslan, sprejemnik je v segmentu, ki ga nikoli ne vidi, seznam naprav pa se vrne prazen. Prazen seznam ni dokaz, da je televizor izgubil dostop do interneta.
Izolacija ustvari enak simptom tudi brez kakršnega koli VPN. Gostujoča omrežja in izolacija odjemalcev na dostopni točki namenoma preprečujejo napravam, da bi se pogovarjale med seboj, in vklop VPN na usmerjevalniku nad izoliranim segmentom tega ne spremeni. Preverite nastavitev izolacije, preden preverite tunel. To je cenejši odgovor in pogostejši.
Razporeditev segmentov je druga polovica. Drugi usmerjevalnik, mesh vozlišče v drugem načinu ali žični segment za drugim NAT vsi postavijo sprejemnik tja, kamor promet odkrivanja telefona ne pride.
Zakaj lahko privzeto pravilo politike pogoltne lokalno zahtevo
Usmerjevalnik, ki vso komunikacijo pošlje v tunel, na vmesniku tunela nastavi privzeto pot. Če predpona LAN ni izključena iz te politike, paket, naslovljen na napravo dva metra stran, zdaj ustreza privzeti poti, in usmerjevalnik pošlje upravljalno zahtevo v tunel namesto na stikalo.
| Stage | What carries it | How a router VPN interferes |
|---|---|---|
| Discovery | Link-local multicast on a single segment | Not extended across segments, and not repaired by a route |
| Control connection | Unicast to the receiver address on the LAN | A policy default can capture the LAN destination and tunnel it |
| Media fetch | The receiver's own connection | Unaffected by the phone's route, but affected by the TV's own policy |
| Account authorization | Tokens held by the application | Can fail for reasons unrelated to any route |
Vrstni red pravil odloči o izidu. Usmerjanje po politiki ovrednoti pravila po prednostnem redu, zato mora biti izjema za lokalno predpono pred pravilom, ki izbere tabelo tunela. Dodajanje izjeme za pravilom tunela nima učinka, zato lahko videzno pravilna konfiguracija še vedno pošilja promet LAN na oddaljeni izhod.
Popravek je ozek: dovolite konkretne lokalne cilje, ki jih potrebuje tok predvajanja, preostanek izolacije pa pustite pri miru. Odstranitev izolacije odjemalcev kot prvi korak pozdravi simptom, a zavrže nadzor, ki ga je omrežje imelo po zasnovi.
Hiter pogled na telefonu ugotovi, katera od dveh napak je pri vas. Če pot do sprejemnika kaže v tunel, je težava v politiki. Če kaže v LAN in odkrivanje še vedno spodleti, je težava v multicastu ali izolaciji, in nobena sprememba poti ne bo pomagala.
ip route get 192.168.1.50
ip rule show
avahi-browse -rt _googlecast._tcpPreizkusite spremenjeni korak, ne države
Zapisana opažanja premagajo ponavljajoče poskuse. Zabeležite, ali se sprejemnik pojavi na seznamu naprav, ali upravljalna zahteva pride do njega in ali se predvajanje začne, ko je izbran tok. Vsak odgovor odstrani en korak iz suma.
Nato preizkusite vsak korak neposredno, namesto da bi menjali izhodne lokacije. Menjava države VPN preizkusi pot medijev, koraka odkrivanja in upravljanja pa ostaneta nedotaknjena, zato je lahko videti, da pomaga po naključju, ne da bi vas česa naučila.
Na strani sprejemnika preverite njegovo lastno pot in stanje njegovega lastnega računa. Televizor, ki medije prenaša po drugem izhodu kot telefon, je običajna zasnova, in napaka tam je vprašanje o omrežni politiki sprejemnika, ne o tunelu telefona.
Rezultat zapišite v enem stavku: kateri korak se je pokvaril in kaj ga je spremenilo. Ta stavek je vreden več kot teden menjave držav in preživi naslednjo posodobitev vdelane programske opreme.
Predvajanje je dober preskusni primer za splošno pravilo o tunelih. Ko se v omrežje doda tunel, je prvo vprašanje kateri cilji ne bi smeli nikoli priti vanj, drugo pa, katere od njih je politika vseeno tiho sprejela.