VPN istemcisi açıkken bir LAN adresine ping atarken General failure
Windows, yönlendirme tablosu doğru görünmesine rağmen hiçbir bağdaştırıcıya ulaşamadığını söylüyor. Engelin yönlendirme, filtreleme yoksa istemci mi olduğuna karar verin.
Tek bir ana makine yolu, tek bir adres ve ping isteğin zaman aşımına uğraması yerine hemen General failure ile başarısız oluyor. Bütün teşhis bu farkta. Zaman aşımı, paketin çıktığını ve bir şeyin onu yok saydığını gösterir. General failure ise Windows'un paketi baştan itibaren hiçbir arayüze veremediğini gösterir.
Yani yönlendirme tablosu kusursuz görünürken hata hâlâ General failure ise engel, yönlendirme kararının altında gerçekleşiyor ve orada çalışan şey sağlayıcının istemcisi.
Hatanın kendisini yönlendirme tablosundan önce okuyun
Windows bu hatayı gönderecek bir arayüz bulamadığında döndürür ve hedefin paketle ne yapacağı hakkında hiçbir şey söylemez. Erişilebilirlik, uzak taraftaki güvenlik duvarları ve hizmetin kullanılabilirliği hepsi henüz ulaşmadığınız sonraki sorulardır.
Bu durumun klasik yapılandırması, tek bir LAN adresini fiziksel ağ geçidine yönlendiren ve tüneli atlamasını sağlayan bir ana makine yoludur. route add onu kabul eder, route print onu gösterir ve ping yine de başarısız olur, çünkü filtre sürücüsü paketin dışarı çıkmasına izin verilmediğine zaten karar vermiştir.
Bu açıklamayı kabul etmeden önce yolun gerçekten seçildiğini doğrulayın: arayüz dizinini ve metriği kontrol edin, yeniden bağlanma sonrası kaydın eskimiş olmadığından emin olun. Artık var olmayan bir arayüze işaret eden yol, çok daha az ilginç bir nedenden benzer bir hata verir.
Üç katman, üç farklı sahip
Kazanan katman en son çalışandır ve bu üçü çoğu insanın varsaydığı sırada değildir.
| Layer | What it decides |
|---|---|
| Routing table | Which interface and next hop should carry the packet |
| Client filter driver | Whether this packet is permitted to leave outside the tunnel at all |
| Client feature | Whether a named feature, such as LAN blocking, is active right now |
Orta katman, bir yolun aynı anda hem doğru hem işe yaramaz olabilmesinin nedenidir. Sağlayıcı istemcileri, tünel dışındaki trafiğin atılması için bir filtre ve güvenlik duvarı kuralları kurar ve bu, onların kill switch'ini uygulayan aynı mekanizmadır. Yönlendirme tablosundaki hiçbir şey o karara katılmaz.
Üçüncü katman, düzenli olarak gelen tuhaf bir raporu açıklar: yerel alt ağ, istemci bağlantısı kesildikten sonra bile erişilemez. Hizmet hâlâ çalışıyor ve filtre hâlâ kurulu, yani bağlı olmamak filtrelememekle aynı şey değil. Bir sonuca varmadan önce yalnızca bağlantıyı kesmek yerine istemciden çıkın.
Sırasıyla ne denenmeli
Kaldırılması ucuz ve geri getirilmesi kolay özellikleri kaldırarak başlayın. Bazen LAN'da görünmezlik denen LAN keşfi, özel adres aralıklarına giden trafiği engelleyerek makinenin komşularından gizli kalmasını sağlar. Yazıcılar, yerel dosya sunucuları ve yönlendiricinin kendisi o anahtarın arkasında kaybolur. DNS'i filtreleyen tehdit koruması özellikleri kendi kancalarını kurar ve yerel erişilebilirliği neredeyse aynı şekilde bozdukları bildirilir.
İkisini de kapatın, istemciden tamamen çıkın ve sonra adresi test edin. Bu sıra, trafiği engelleyen özelliği onu yanlış yönlendiren tünelden ayırır ve statik yollarla bir öğleden sonra harcamak yerine iki dakika sürer.
ping 192.168.1.50
tracert -d 192.168.1.50
route print -4Özellikler kapatıldıktan sonra adres yanıt veriyorsa bir arıza değil ilke kararınız var: özelliği kapalı bırakmak, bir istisna eklemek veya makinenin yerel ağda görünmez kalmasını kabul etmek arasında seçin.
İstemcinin istisna yolunu dar biçimde kullanın
Bir özellik açık kalması gerektiğinde desteklenen çıkış, istemcinin kendi bölünmüş tünellemesidir. İstisnayı gereksinimin izin verdiği kadar küçük tutun, bu genellikle bir sunucu için tek bir ana makine adresi veya tek bir segment için tek bir önek anlamına gelir. Tüm özel aralığı kapsayan bir kural, kimsenin eklediğini hatırlamayacağı ve kimsenin kaldırmaya cesaret edemeyeceği kalıcı bir deliktir.
Sonra önce adresle, ardından adla doğrulayın. Adres fiziksel ağ geçidinde ilk sıçramayla yanıt veriyorsa istisna çalışıyor. Ad hâlâ başarısızsa DNS'e geçmişsinizdir, çünkü tünelin çözümleyicisi yerel bölgeyi bilmez ve hiçbir yönlendirme değişikliği ona bunu öğretmez.
Yolu veya istisnayı koruyun, ikisini birden değil, hangisinin işi yaptığına dair bir notla. Üst üste binen iki mekanizma birbirini gizler ve bu makinede hata ayıklayacak bir sonraki kişi birini kaldırır ve hiçbir değişiklik görmez.
İstemci engelin kendisiyse
Bazı derlemeler trafiği ne statik bir yolun ne de istemci istisnasının yenemeyeceği biçimde filtreler. Bulgu buysa dürüst seçenekler, atlama özelliğini beklemek veya sağlayıcının kendi profilini kullanarak sade bir OpenVPN istemcisiyle bağlanmaktır; özgün raporda satıcı desteğinin yanıtı da bunu öneriyordu.
Bu değişimi yapmadan önce karşılığını anlayın. Sade bir profil her sıradan tünel gibi davranır: kendi yollarını kurar ve yığının geri kalanını yeniden yapılandırmaz, böylece dar ana makine yolu yine beklediğiniz gibi davranır. Kaybettiğiniz şey, markalı istemcinin tünelin çevresinde uyguladığı her şeydir, kill switch ve DNS filtreleme dahil, ve bunların bilinçli olarak yeniden üretilmesi ya da yok sayılması gerekir.
Ne seçerseniz seçin, engelin hangi katmana ait olduğunu kaydedin. Makineden hiç çıkmamış bir paket filtre sonucudur ve hiçbir yönlendirme değişikliği bir filtreyi onaramaz.