VPN у Windows-у приказује 255.255.255.255: да ли је маска погрешна?
На тунелу од тачке до тачке, маска домаћина је нормална. Потврдите модел интерфејса, прочитајте руту за домаћина који не успева и одвојте DNS од приступа услузи.
Тунел се повезује, отворите детаље адаптера и маска приказује 255.255.255.255. У поређењу са 255.255.255.0 канцеларијске локалне мреже изгледа покварено и ту обично почиње грешка. На вези од тачке до тачке маска домаћина је исправан опис локалног краја, а удаљене мреже долазе као руте, а не као прикључена подмрежа. Поступак испод раздваја два питања да не бисте поново градили радни DHCP опсег само да бисте поправили приказану вредност.
Веза од тачке до тачке није Ethernet сегмент
Интерфејсу Ethernet потребна је маска подмреже јер је свака адреса у том опсегу потенцијално доступна на истом каблу. Тунел у стилу PPP има тачно једног партнера на другом крају. Нема broadcast домена, нема ARP-а и нема разлога да локална адреса описује опсег.
Преговори о адресама за тај модел дефинисани су у RFC 1332, која описује како се два краја договарају о својим адресама. Оно што не чини јесте да клијенту преда канцеларијску локалну мрежу као директно прикључену мрежу. Клијент учи где је канцеларија инсталирањем рута кроз везу, и управо те руте стварно одређују доступност.
То не значи да је свака маска коју видите исправна. Погрешно конфигурисан клијент такође може да произведе чудно адресирање. Поента је ужа: маска домаћина на овој врсти адаптера се очекује, па сама по себи није доказ квара.
Корак 1: потврдите модел интерфејса
Погледајте шта је адаптер пре него што процените шта говори. Описни низ идентификује драјвер, а дужина префикса додељене адресе потврђује шта је клијент преговарао:
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetIPAddress -InterfaceAlias 'Corp VPN' | Select-Object IPAddress,PrefixLength,PrefixOrigin
Get-NetIPInterface -InterfaceAlias 'Corp VPN' | Select-Object AddressFamily,ConnectionState,NlMtuТрећа команда је она која решава већину расправа. Ниска максимална преносна јединица карактеристична је за инкапсулирану везу, док вредност слична Ethernet-у указује на други модел виртуелног адаптера. Ако опис наводи PPP или RAS драјвер и префикс је 32, гледате тачно горе описани дизајн и можете да престанете да бринете о маски.
| Observation | What it means | Reasonable next step |
|---|---|---|
| /32 on a PPP or RAS adapter | Point-to-point endpoint addressing | Look at routes, not the mask |
| /32 on an Ethernet-like adapter | Client chose host addressing deliberately | Confirm against the server's push policy |
| Mask differs from the office LAN | Usually irrelevant to reachability | Test the destination instead |
Корак 2: прочитајте руту за одредиште које не успева
Доступност се одређује по одредишту, а један прикључен интерфејс о томе не говори ништа. Питајте табелу рутирања директно о адреси коју корисник стварно покушава да достигне:
Get-NetRoute -InterfaceAlias 'Corp VPN' | Select-Object DestinationPrefix,NextHop,RouteMetric
Find-NetRoute -RemoteIPAddress 10.24.6.15
route print -4Find-NetRoute је директан одговор: наводи интерфејс и изворну адресу коју би систем користио за то одредиште. Ако врати тунел, саобраћај ка том домаћину иде кроз тунел и маска никада није била проблем.
Ако врати физички адаптер, упоредите две могуће руте и њихове метрике. Конкретнија локална рута, остатак од другог клијента или нижа метрика на физичком путу побеђују широку руту кроз тунел. Видљив резултат је недоступан ресурс док све остало ради. Дужи префикси увек побеђују, па је победник често рута до домаћина коју је неко додао пре неколико месеци и заборавио.
Овде проверите и оба смера. Рута ка страни сервера је потребна, али није довољна, јер и одговор мора да се врати кроз тунел. Када један интерни домаћин ради, а други не, разлика је обично у овој табели, а не у конфигурацији адаптера.
Корак 3: одвојте разрешавање имена од приступа услузи
Апликација која не отвори дељени ресурс може да закаже у једној од две веома различите фазе. Решите име, затим достигните адресу. Ако прво закаже, а друго ради, тунел је у реду, а резолвер није:
Resolve-DnsName files.corp.example.internal
Get-DnsClientServerAddress -InterfaceAlias 'Corp VPN'
Test-NetConnection -ComputerName 10.24.6.15 -Port 445Успешан тест адресе уз неуспешан тест имена лоцира проблем у разрешавању, а друга команда показује да ли је интерфејс тунела уопште добио сервер. Многи клијенти гурају DNS као део конфигурације тунела, а профил који игнорише те гурнуте опције оставиће машину са резолвером који не види приватну зону.
Не узимајте радну адресу као трајну поправку. Повезивање преко адресе заобилази разрешавање имена и може да ослаби проверу идентитета сервера коју би апликација иначе обавила. То је безбедносна регресија прерушена у привремено решење. Искористите је да лоцирате квар, а затим поправите разрешавање.
Враћање: не обнављајте DHCP због приказане вредности
Ако сте већ почели да мењате услугу адресирања, зауставите се и проверите да ли је нешто од промењеног носеће. Поновно стварање опсега, поновно издавање закупа или премештање скупа мења стање од кога зависе други клијенти, и ништа од тога није оправдано маском домаћина на адаптеру од тачке до тачке.
Get-DnsClientServerAddress -InterfaceAlias 'Corp VPN'
Find-NetRoute -RemoteIPAddress 10.24.6.15
Test-NetConnection -ComputerName files.corp.example.internal -Port 445Покрените ове три након сваке циљане промене и упоредите са претходним покретањем. Користан резултат је документован пут до ресурса, а не адаптер чија маска личи на канцеларијску локалну мрежу.
Затим запишите шта је маска заправо значила, јер ће следећа особа отворити исти дијалог и доћи до истог погрешног закључка. Једна реченица у белешкама профила, да је тунел од тачке до тачке и да удаљене подмреже долазе као руте, штеди целу истрагу следећи пут.