Delite povezavo Windows? Pot VPN se pod njo spremeni

Prenosnik deli svoj Wi-Fi, gostitelj brska po tunelu brez pritožb, tablica na tej delitvi pa ne doseže ničesar. Gostitelj je prenehal biti samo odjemalec v trenutku, ko je bila delitev vklopljena: zdaj je usmerjevalnik, poslani paketi pa naletijo na drug nabor pravil. Kar deluje na gostitelju, ne pove ničesar o napravi za njim. Zaženite preverjanja od spodnjega odjemalca in razlika preneha biti teoretična.

Uspeh gostitelja ne dokazuje ničesar

Delitev povezave da enemu stroju štiri naloge: dodeljevanje naslovov, posredovanje, prevajanje in filtriranje. Odjemalec VPN, ki varuje lokalno ustvarjen promet, lahko poslani promet šteje za zunaj svojega obsega, ali pa ga namerno blokira kot uhajanje. Nobeno od obeh vedenj ni napaka in nobeno ni zapisano na zaslonu, kjer je bila delitev vklopljena. Samo preizkus od spodaj vam pove, katero imate.

Mnogi odjemalci posredujejo le promet gostitelja in nič drugega, zato preverite razdelek o delitvi v dokumentaciji odjemalca, namesto da bi zaupali, da bo tunel usmerjal za tablico. Viden simptom je naprava, ki se poveže, dobi naslov in nato spodleti pri prvi zahtevi. Odjemalec, ki noče posredovati, je na gostitelju še vedno videti popolnoma zdrav.

Kateri vmesnik je deljen, kateri služi odjemalcem

Zabeležite oba vmesnika, ker nosita različne naslove in različne filtre, sprememba na napačnem pa pojasni veliko zmedenih rezultatov. Gostitelj delitve običajno prevzame fiksni naslov na spodnji strani in tam izvaja majhno storitev DHCP in DNS. Windows hrani posredovanje po vmesnikih, ne globalno, zato je treba stanje brati vmesnik za vmesnikom.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Če je posredovanje na deljenem vmesniku prikazano kot Onemogočeno, spodaj ne bo delovalo nič, ne glede na to, kaj počne tunel. Vklopite ga le na stroju, katerega politika mu dovoljuje usmerjanje za druge naprave.

Posredovanje, prevajanje in filtriranje

Poslan paket mora doseči tunel, biti preveden v nekaj, kar oddaljena stran sprejme, in se vrniti po istem prevodu. Katera koli od teh treh stopenj se lahko zlomi in vsaka zlomitev povzroči enak časovni limit brskalnika. Zajem paketov, iskanje poti in dnevnik z oddaljene strani so vredni več kot še en pregled pogovornega okna delitve. Prav to, katera stopnja spodleti, pove, čigava sprememba je potrebna.

Oddaljena stran morda potrebuje tudi povratno pot za deljeno podomrežje, obseg, ki ga strežnik VPN ni nikoli videl. Kjer odjemalec prevaja, strežnik vidi le naslov tunela in povratna pot ni potrebna. Kjer ne prevaja, mora tisti, ki ima prehod, to pot zavestno dodati, in to je zahteva za spremembo, ne nastavitev odjemalca.

Preverjanja izvajajte na odjemalcu, ne na gostitelju

Vsako preverjanje izvedite na odjemalcu, ki spodleti, ne na gostitelju, ki deluje. Imejte izhodni naslov, odgovor razreševalnika in preizkus aplikacije v isti seji, ker rezultati, zbrani z uro razlike, ne povedo ničesar o tem, kako se vsi trije kombinirajo.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Primerjajte izhodni naslov z lastnim naslovom gostitelja in zabeležite, ali se ujemata. Drugačen odgovor pomeni, da poslana pot obide tunel, kar je vprašanje politike z lastnikom, ne hitra poprava. Ujemajoč odgovor ob spodleteli aplikaciji premakne delo na razreševanje imen ali na politiko oddaljene strani. Ne ustavite se niti pri rezultatu IPv4: delitev lahko prestane vsako preverjanje IPv4, medtem ko IPv6 izhaja skozi drug izhod, zato ponovite preverjanja imen in izhoda z zapisom AAAA in podrobnim preizkusom povezave.

Na upravljanem stroju potrdite, da je delitev sploh dovoljena, ker izpostavljanje dostopa za drugo napravo ni gumb za udobje, ampak upravna odločitev. Po vsaki podprti spremembi ponovite preverjanja ob ponovnem povezovanju in še enkrat med izpadom. Čisto ponovno povezovanje gostitelja ne obnovi poslane poti, ki je odjemalec nikoli ni podpiral.