Делите Windows везу? VPN путања се мења испод ње

Дељени адаптер претвара рачунар у рутер, а прослеђени саобраћај иде другим путем од апликација на хосту. Тестирајте са клијента, не са хоста.

Лаптоп дели свој Wi-Fi, хост прегледа кроз тунел без притужби, а таблет на том дељењу не достиже ништа. Хост је престао да буде само клијент оног тренутка када је дељење укључено: сада је рутер, а прослеђени пакети срећу другачији скуп правила. Шта год ради на хосту, не говори ништа о уређају иза њега. Покрените провере са клијента низводно и разлика престаје да буде теоријска.

Успех хоста ништа не доказује

Дељење везе даје четири посла једном рачунару: доделу адреса, прослеђивање, превођење и филтрирање. VPN клијент који штити локално генерисани саобраћај може прослеђени саобраћај сматрати изван свог обухвата, или га намерно блокирати као цурење. Ниједно понашање није грешка, и ниједно није записано на екрану на ком је дељење укључено. Само тест низводно каже које од њих имате.

Многи клијенти прослеђују само саобраћај хоста и ништа друго, па проверите одељак о дељењу у документацији клијента уместо да верујете да ће тунел усмеравати за таблет. Видљиви симптом је уређај који се повеже, добије адресу и затим падне на првом захтеву. Клијент који одбија прослеђивање и даље изгледа потпуно здраво на хосту.

Који адаптер се дели, који опслужује клијенте

Забележите оба адаптера, јер носе различите адресе и различите филтере, а промена на погрешном објашњава много збуњујућих резултата. Хост дељења обично заузима фиксну адресу на низводној страни и тамо покреће мали DHCP и DNS сервис. Windows чува прослеђивање по адаптеру, а не глобално, па се стање мора читати интерфејс по интерфејс.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Ако прослеђивање на дељеном адаптеру пише Онемогућено, ништа низводно неће радити без обзира на то шта тунел ради. Укључите га само на рачунару чија политика дозвољава да усмерава за друге уређаје.

Прослеђивање, превођење и филтрирање

Прослеђени пакет мора доћи до тунела, бити преведен у нешто што даља страна прихвата и вратити се кроз исто превођење. Свака од те три фазе може се покварити, а сваки квар даје исти истек времена у прегледачу. Снимак пакета, претрага рута и запис са даље стране вредe више од још једног прегледа дијалога за дељење. Која фаза пада говори чија је промена потребна.

Даљој страни може требати и повратна рута за дељену подмрежу, распон који VPN сервер никада није видео. Где клијент преводи, сервер види само адресу тунела и повратна рута није потребна. Где не преводи, онај ко поседује gateway мора ту руту намерно да дода, а то је захтев за промену, а не поставка клијента.

Провере радите на клијенту, не на хосту

Сваку проверу радите на клијенту који пада, не на хосту који ради. Држите излазну адресу, одговор разрешивача и тест апликације у истој сесији, јер резултати прикупљени сат времена разлике не говоре ништа о томе како се сва три комбинују.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Упоредите излазну адресу са хостовом сопственом и забележите да ли се поклапају. Другачији одговор значи да прослеђена путања заобилази тунел, што је питање политике са власником, а не брза поправка. Поклапајући одговор уз апликацију која пада премешта посао на разрешавање имена или на политику на даљој страни. Не заустављајте се ни на резултату IPv4: дељење може проћи сваку IPv4 проверу док IPv6 излази кроз други излаз, па поновите провере имена и излаза са записом AAAA и детаљним тестом везе.

На управљаном рачунару потврдите да је дељење уопште дозвољено, јер излагање приступа другом уређају је административна одлука, а не прекидач за удобност. Након сваке подржане промене поновите провере при поновном повезивању и још једном током прекида. Чисто поновно повезивање хоста не враћа прослеђену руту коју клијент никада није подржавао.

Повезани чланци