Dela en Windows-VPN med en sladdansluten konsol: PC-gateway eller router

Konsoler som inte kan köra VPN-klienten kan ibland låna en Windows-PC:s tunnel, och den här lösningen misslyckas oftare än den lyckas, av skäl som inte har med VPN att göra. PC:n måste bli en gateway: ett eget nedre gränssnitt, adressering för konsolen, översättning och en klient som är villig att vidarebefordra en annan enhets paket. En tunnel som fungerar för PC:ns egna program bevisar inget av detta.

Jämförelsen som är värd att göra är mellan den lösningen och en router som äger tunneln för hela nätverket. De skiljer sig i underhåll, i beteende vid fel och i hur mycket av policyn man kan se på en gång.

Vad PC-gatewayen måste göra

En gateway behöver ett gränssnitt som vetter mot konsolen, ett adressområde för det segmentet och en översättningsregel som skriver om konsolens trafik till tunneln. Den behöver också att klienten vidarebefordrar paket som den inte själv skapat, och det är en annan inställning än att acceptera sin egen trafik. Namnuppslag måste gå samma väg, annars löser konsolen upp en speltjänst via en väg och ansluter sedan via en annan. Var och en av dessa är ett eget konfigurationssteg med sitt eget sätt att fallera.

console -> dedicated ethernet -> windows sharing / nat
        -> selected tunnel interface -> internet

Internetanslutningsdelning i Windows ger exakt den här formen, med en anslutning utsedd som offentlig och en annan som privat. Den utnämningen betyder mer än folk förväntar sig, eftersom gränssnittet som når hemmaroutern inte automatiskt är det som bär tunneln.

Jämförelser som avgör

Tre skillnader skiljer en PC-gateway från en routergateway, och det är de som dyker upp månader senare. Tabellen ställer dem sida vid sida.

Bindningen till en användarsession är den första skillnaden och den som överraskar folk. En PC som sover, loggar ut eller installerar en uppdatering slutar vara en gateway, och konsolen förlorar sin väg utan att någon inställning ändras. Policyns synlighet är den andra, eftersom klientens regler och delningslagret bor på två ställen och ingen av dem beskriver den andra. Adresstjänsten är den tredje, och den förklarar en konsol som har en adress men ändå inte når något.

Inget av detta gör PC-lösningen felaktig. Det gör den till en tillfällig design, vilket är godtagbart när kravet är tillfälligt.

Vidarebefordrad trafik är en annan kategori

En skrivbordsklient kan behandla paket som vidarebefordras för en annan enhet annorlunda än sina egna. En inkluderingslista per program täcker processer på PC:n och säger inget om en konsols trafik, medan en nödstoppsbrytare som skyddar lokala program kanske inte skyddar den vidarebefordrade vägen alls. Bekräfta klientens dokumenterade beteende för vidarebefordrad trafik i stället för att sluta dig till det från en lyckad sidladdning på PC:n. Där beteendet är oklart vilar hela lösningen på ett antagande.

Konsolens adressering ska komma från delningslösningen, aldrig från att kopiera PC:ns tunneladress till den. Kopiering ger en dubblerad adress, en felaktig gateway och en resolver som pekar på något konsolen inte kan nå. Låt tjänsten nedströms dela ut konfigurationen och kontrollera sedan vad konsolen faktiskt fick.

Kontrollera konsolens trafik, inte PC:ns

Det enda meningsfulla testet observerar konsolens väg. På PC:n visar kommandona nedan gränssnittens layout, grannbordet över den nedre länken och om konsolen svarar på en tjänsteport. Kör dem medan en spelomgång faktiskt är ansluten.

Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4Address
Get-NetAdapter | Select-Object Name, Status, LinkSpeed
arp -a | findstr 192.168.137.
Test-NetConnection 192.168.137.10 -Port 3074

Ett gränssnitt utan adress på den nedre sidan betyder att delningen aldrig startade, vilket är ett annat problem än en konsol som inte kan ansluta. En post för konsolen i grannbordet bevisar att länken och adresseringen lever. Ett porttest som misslyckas därefter pekar på vidarebefordran eller på hur klienten behandlar vidarebefordrad trafik, inte på kabeln. Jämför konsolens utgående adress med PC:ns innan du drar slutsatsen att tunneln är vägen som används.

Håll lösningen dokumenterad med gränssnittsnamnen och adressområdena. När den går sönder efter nästa uppdatering sparar den sidan en timme av återupptäckt.