VPN je povezan, a naslov IP se ni spremenil: zakaj

Povežete se, odjemalec pravi povezano, preizkus naslova pa še vedno kaže isto številko kot prej. Z indikatorjem ni nič narobe; nekaj med profilom in aplikacijo je to zahtevo zadržalo zunaj predora. Odločite se, na katero od treh stvari gledate, preden se dotaknete kakršne koli konfiguracije: preizkus, ki nikoli ni izmeril javnega naslova, predor, ki pokriva le del prometa, ali druga pot, ki zmaga pri odločitvi o usmerjanju. Vsak ima eno preverjanje, ki traja manj kot minuto.

Potrdite, kaj je preizkus dejansko izmeril

Naslov v pogovornem oknu Wi-Fi ali Ethernet je naslov vmesnika v vašem lastnem segmentu, ne naslov, ki ga vidi spletno mesto, zato lahko ostane enak, medtem ko predor deluje brezhibno. Lokacija je spet ločen signal: shranjena regija računa ali dovoljeno branje geolokacije se ne premakne, ko spremenite izhod, in tudi prijava, ki vas že prepozna, ne.

Uporabite odmev javnega naslova in vsako družino vprašajte ločeno, ker rezultat preizkusa z dvojnim skladom skriva zanimiv primer:

curl -4 -s https://ifconfig.me
curl -6 -s https://ifconfig.me

Zaženite oba pred povezavo in po njej. Če se odgovor IPv4 spremeni v izhodni naslov, odgovor IPv6 pa ne, nimate pokvarjenega predora; ena družina potuje zunaj njega. Če oba odgovora ostaneta enaka, zahteva nikoli ni dosegla predora in ostalo tukaj velja.

Profil lahko pokriva le del prometa

Profil z razdeljenim predorom je običajen odgovor in ni napaka. OpenVPN pošlje vse skozi predor le, ko je redirect-gateway med poslanimi možnostmi; brez njega odjemalec prejme nekaj posebnih poti, vaša privzeta pot pa ostane na fizični povezavi. V Windowsu se isto stikalo prikaže kot „Uporabi privzeti prehod v oddaljenem omrežju” v lastnostih IPv4 adapterja, njegov izklop pa je zavestna izbira, ki preživi vsako ponovno povezavo.

Obseg po aplikacijah je druga plast. Nastavitev VPN po aplikacijah v Androidu odloči, katere aplikacije so vključene, zato ključ VPN v vrstici stanja ne dokazuje, da je brskalnik znotraj. Razširitev brskalnika, ki prek proxyja usmerja lasten promet, ustvari zrcalno sliko: brskalnik kaže izhodni naslov, medtem ko poštni odjemalec ali igra na istem računalniku še vedno kaže vašega. Primerjajte isto zahtevo v dveh aplikacijah. Če se ena spremeni, druga pa ne, gledate obseg, ne odpovedujočega predora.

Ena družina naslovov lahko še vedno gre neposredno

Večina profilov VPN je napisanih za IPv4, mnogi pa so še vedno takšni. V omrežju z dvojnim skladom predor vzame 10.8.0.x za IPv4, medtem ko fizična povezava obdrži globalni naslov IPv6 in privzeto pot, zato je spletno mesto s podporo IPv6 doseženo neposredno in naslov, ki ga poroča, je naslov vašega ponudnika. To je uhajanje ob delujočem predoru IPv4 in je nevidno za preizkus, ki govori samo IPv4.

ip -4 route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Preberite vmesnik v vsakem odgovoru. Če iskanje IPv6 imenuje vašo napravo Ethernet ali Wi-Fi, iskanje IPv4 pa imenuje predor, politika za to družino manjka, ni pokvarjena. Izklop IPv6 na celotni napravi odpravi simptom in skrije odločitev; raje popravite pokritost profila ali onemogočite družino samo na tej povezavi in zapišite, katero od dveh možnosti ste izbrali.

Druga pot lahko zmaga pri iskanju

Konkurenčni proxy, drugi odjemalec VPN, navidezni adapter iz vsebnika ali orodja za oddaljeni namizje, ali dodatna pot za točno predpono, ki jo preizkušate, lahko vsi dobijo prednost. Določena pot vedno premaga privzeto pot, zato preostala /24 za spletno mesto, ki ga merite, usmerjena na vaš prehod LAN, še naprej pošilja ta promet zunaj predora, ne glede na to, kako zdrav je predor.

Preden karkoli spremenite, naredite popis z ukazi samo za branje:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
nmcli connection show --active

Iščite več kot eno privzeto pot z verjetno metriko in določeno pot, ki pokriva cilj. V brskalniku preverite tudi, ali povezavo poseduje razširitev proxyja ali sistemska nastavitev proxyja; razširitev lahko poimenuje svoj lastni nadrejeni tok in pusti izhod operacijskega sistema nedotaknjen, kar ustvari drugačen naslov v brskalniku kot v terminalu na istem računalniku.

Izmerite znova s svežo zahtevo

Znova se povežite in nato ponovite meritev iz iste aplikacije, s katero ste preizkusili prvič, ker predpomnjena stran ali znova uporabljena povezava poroča staro stanje. Opazujte dnevnik ali pogled dogodkov odjemalca med povezovanjem: napaka pri uporabi poti po preverjanju pristnosti je močnejši dokaz od katerega koli indikatorja in običajno imenuje pot ali adapter, ki ni uspel.

Dva izida imejte ločeno. Če se naslov spremeni, a eno spletno mesto vas še vedno zavrača, predor deluje in spletno mesto zavrača naslov podatkovnega centra; to je druga težava z drugim odgovorom. Če se naslov nikoli ne spremeni, pojdite skozi štiri vprašanja po vrsti: kateri naslov je preizkus izpisal, katera družina je bila, katera aplikacija je poslala zahtevo in po kateri poti je ta zahteva šla. Dokumentacija Microsofta o odločitvah usmerjanja VPN pojasnjuje, kako odjemalec Windows izbira med predorom in fizičnim adapterjem, ko imata oba pot.