Delar du en Windows-anslutning? VPN-vägen ändras under den

En bärbar dator delar sitt Wi-Fi, värden surfar genom tunneln utan klagomål, och surfplattan på den delningen når ingenting. Värden slutade vara bara en klient i samma stund som delningen slogs på: den är nu en router, och vidarebefordrade paket möter en annan uppsättning regler. Det som fungerar på värden säger ingenting om enheten bakom den. Kör kontrollerna från klienten nedströms och skillnaden slutar vara teoretisk.

Värdens framgång bevisar ingenting

Anslutningsdelning ger fyra uppgifter till en maskin: adresstilldelning, vidarebefordran, översättning och filtrering. En VPN-klient som skyddar lokalt genererad trafik kan betrakta vidarebefordrad trafik som utanför sitt område, eller blockera den med avsikt som ett läckage. Inget av beteendena är en bugg, och inget av dem står skrivet på skärmen där delningen slogs på. Bara testet nedströms säger vilket du har.

Många klienter vidarebefordrar bara värdens trafik och ingenting annat, så kontrollera delningsavsnittet i klientens dokumentation i stället för att lita på att tunneln routar för surfplattan. Det synliga symtomet är en enhet som ansluter, får en adress och sedan misslyckas vid den första begäran. En klient som vägrar vidarebefordra ser fortfarande helt frisk ut på värden.

Vilken adapter delas, vilken betjänar klienterna

Anteckna båda adaptrarna, eftersom de bär olika adresser och olika filter, och en ändring på den felaktiga förklarar många förvirrande resultat. Delningsvärden tar vanligtvis en fast adress på nedströmssidan och kör en liten DHCP- och DNS-tjänst där. Windows håller vidarebefordran per adapter i stället för globalt, så tillståndet måste läsas gränssnitt för gränssnitt.

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceIndex,LinkSpeed
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias,IPAddress,PrefixLength
Get-NetIPInterface | Select-Object InterfaceAlias,Forwarding,ConnectionState
Get-NetConnectionProfile

Om vidarebefordran visas som Inaktiverad på den delade adaptern fungerar ingenting nedströms, oavsett vad tunneln gör. Aktivera den bara på en maskin vars policy tillåter den att routa för andra enheter.

Vidarebefordran, översättning och filtrering

Ett vidarebefordrat paket måste nå tunneln, översättas till något som den bortre sidan accepterar och komma tillbaka genom samma översättning. Varje sådant steg kan gå sönder, och varje brott ger samma tidsgräns i webbläsaren. En paketfångst, en rutsökning och en logg från den bortre sidan är värda mer än ännu en genomgång av delningsdialogen. Vilket steg som fallerar är det som säger vems ändring som behövs.

Den bortre sidan kan också behöva en returrutt för det delade subnätet, ett intervall som VPN-servern aldrig har sett. Där klienten översätter ser servern bara tunneladressen och ingen returrutt behövs. Där den inte översätter måste den som äger gatewayen lägga till rutten med avsikt, och det är en ändringsbegäran, inte en klientinställning.

Kör kontrollerna på klienten, inte på värden

Kör varje kontroll på klienten som misslyckas, inte på värden som fungerar. Håll egress-adressen, resolverns svar och applikationstestet i samma session, eftersom resultat insamlade en timme isär inte säger något om hur de tre kombineras.

Resolve-DnsName intranet.example.net -Type A
Resolve-DnsName intranet.example.net -Type AAAA
Invoke-RestMethod https://api.ipify.org
Test-NetConnection intranet.example.net -Port 443 -InformationLevel Detailed

Jämför egress-adressen med värdens egen och notera om de två stämmer. Ett annat svar betyder att den vidarebefordrade vägen går runt tunneln, vilket är en policyfråga med en ägare och inte en snabb åtgärd. Ett överensstämmande svar bredvid en applikation som misslyckas flyttar arbetet till namnmatchning eller till policyn på den bortre sidan. Stanna inte vid IPv4-resultatet heller: en delning kan klara varje IPv4-kontroll medan IPv6 går ut genom en annan utgång, så upprepa namn- och egress-kontrollerna med AAAA-posten och det detaljerade anslutningstestet.

På en hanterad maskin, bekräfta att delning överhuvudtaget är tillåten, eftersom att exponera åtkomst till en annan enhet är ett administrativt beslut och inte en bekvämlighetsbrytare. Efter varje ändring som stöds, upprepa kontrollerna vid återanslutning och igen under ett avbrott. Att värden återansluter rent återställer inte en vidarebefordrad rutt som klienten aldrig har stöttat.