General failure pri pinganju naslova LAN z vklopljenim odjemalcem VPN
Windows pravi, da sploh ne doseže nobenega vmesnika, medtem ko je usmerjevalna tabela videti pravilna. Odločite se, ali blokira usmerjanje, filtriranje ali odjemalec.
Ena pot do gostitelja, en naslov in ping takoj spodleti s General failure, namesto da bi zahteva potekla. Prav ta razlika je cela diagnoza. Potek pomeni, da je paket odšel in da ga je nekaj prezrlo. General failure pomeni, da Windows paketa sploh ni mogel izročiti nobenemu vmesniku.
Ko je torej usmerjevalna tabela videti popolna in je napaka še vedno General failure, se blokiranje dogaja pod odločitvijo o usmerjanju, odjemalec ponudnika pa je tisto, kar tam deluje.
Preberite napako pred usmerjevalno tabelo
Windows to napako vrne, ko ne najde vmesnika za pošiljanje, in ne pove ničesar o tem, kaj bi s paketom storil cilj. Dosegljivost, požarni zidovi na drugi strani in razpoložljivost storitve so vsa vprašanja, do katerih še niste prišli.
Klasična nastavitev za ta primer je pot do gostitelja, ki en naslov LAN usmeri na fizični prehod, da se izogne tunelu. route add jo sprejme, route print jo prikaže, ping pa še vedno spodleti, ker je gonilnik filtra že odločil, da paket ne sme ven.
Preden sprejmete to razlago, potrdite, da je pot res izbrana: preverite indeks vmesnika in metriko ter se prepričajte, da vnos po ponovni povezavi ni zastarel. Pot, ki kaže na vmesnik, ki ne obstaja več, daje podobno napako iz veliko manj zanimivega razloga.
Tri plasti, trije različni lastniki
Zmaguje plast, ki se izvede zadnja, in te tri niso v vrstnem redu, ki ga večina predpostavlja.
| Layer | What it decides |
|---|---|
| Routing table | Which interface and next hop should carry the packet |
| Client filter driver | Whether this packet is permitted to leave outside the tunnel at all |
| Client feature | Whether a named feature, such as LAN blocking, is active right now |
Srednja plast je razlog, da je pot lahko hkrati pravilna in neuporabna. Odjemalci ponudnikov namestijo filter in pravila požarnega zidu, da se promet zunaj tunela zavrže, in to je isti mehanizem, ki izvaja njihovo stikalo za izklop. Nič v usmerjevalni tabeli pri tej odločitvi ne sodeluje.
Tretja plast pojasnjuje nenavadno poročilo, ki prihaja redno: lokalno podomrežje ni dosegljivo tudi po prekinitvi odjemalca. Storitev še teče in filter je še nameščen, zato ni povezan ni isto kot ne filtrira. Preden karkoli sklepate, izstopite iz odjemalca, namesto da ga samo prekinete.
Kaj poskusiti, po vrsti
Začnite z odstranitvijo funkcij, ki jih je poceni odstraniti in jih je enostavno obnoviti. Odkrivanje v LAN, včasih imenovano nevidnost v LAN, blokira promet v zasebna naslovna območja, da naprava ostane skrita pred sosedi. Tiskalniki, lokalni strežniki datotek in sam usmerjevalnik izginejo za tem stikalom. Funkcije zaščite pred grožnjami, ki filtrirajo DNS, namestijo svoje kavlje in poročajo, da lomijo lokalno dosegljivost skoraj na enak način.
Izklopite oboje, popolnoma zaprite odjemalca in nato preizkusite naslov. To zaporedje loči funkcijo, ki blokira promet, od tunela, ki ga usmerja napačno, in traja dve minuti namesto popoldneva s statičnimi potmi.
ping 192.168.1.50
tracert -d 192.168.1.50
route print -4Če naslov odgovori po izklopu funkcij, imate odločitev o politiki in ne okvaro: izberite med tem, da funkcijo pustite izklopljeno, dodate izjemo ali sprejmete, da naprava ostane nevidna v lokalnem omrežju.
Uporabite izjemo odjemalca, ozko
Ko mora funkcija ostati vklopljena, je podprt izhod lastno razdeljeno tuneliranje odjemalca. Izjema naj bo tako majhna, kot zahteva dovoljuje, kar običajno pomeni en naslov gostitelja za en strežnik ali eno predpono za en segment. Pravilo, ki pokriva celotno zasebno območje, je trajna luknja, za katero se nihče ne bo spomnil, da jo je dodal, in je nihče ne bo upal odstraniti.
Nato preverite najprej po naslovu in šele nato po imenu. Če naslov odgovori s prvim skokom na fizičnem prehodu, izjema deluje. Če ime še vedno spodleti, ste prešli na DNS, ker razreševalnik tunela ne pozna lokalnega območja in nobena sprememba usmerjanja ga tega ne bo naučila.
Obdržite pot ali izjemo, ne obojega, skupaj z opombo o tem, katera opravlja delo. Dva prekrivajoča se mehanizma se skrivata drug drugega, in naslednja oseba, ki bo odpravljala napake na tem stroju, bo enega odstranila in ne bo videla nobene spremembe.
Ko je odjemalec ovira
Nekatere različice filtrirajo promet tako, da ga ne premaga niti statična pot niti izjema odjemalca. Ko je to ugotovitev, so poštene možnosti počakati na funkcijo zaobidenja ali se povezati z običajnim odjemalcem OpenVPN z lastnim profilom ponudnika, kar je priporočil tudi odgovor podpore proizvajalca v izvirnem poročilu.
Razumite kompromis, preden izvedete to zamenjavo. Običajen profil se obnaša kot vsak običajen tunel: namesti svoje poti in ne prestrukturira preostanka sklada, zato se ozka pot do gostitelja še vedno obnaša tako, kot pričakujete. Izgubite vse, kar je blagovni odjemalec izvedel okoli tunela, vključno s stikalom za izklop in filtriranjem DNS, in to je treba namerno poustvariti ali sprejeti kot odsotno.
Karkoli izberete, zapišite, katera plast je imela blokiranje. Paket, ki stroja nikoli ni zapustil, je rezultat filtra, in nobena sprememba usmerjanja ne more popraviti filtra.