Спільний доступ до VPN Windows для дротової консолі: шлюз на ПК чи маршрутизатор

Консолі, які не можуть запустити клієнт VPN, іноді позичають тунель ПК з Windows, і така схема частіше зазнає невдачі, ніж працює, з причин, не пов'язаних із VPN. ПК має стати шлюзом: окремий інтерфейс донизу, адресація для консолі, трансляція та клієнт, готовий пересилати пакети іншого пристрою. Тунель, що працює для власних програм ПК, нічого з цього не доводить.

Порівняння, яке варто зробити, — між цією схемою та маршрутизатором, який володіє тунелем для всієї мережі. Вони різняться обслуговуванням, поведінкою під час збою і тим, скільки політики видно одразу.

Що має робити шлюз на ПК

Шлюзу потрібен інтерфейс, обернений до консолі, діапазон адрес для цього сегмента й правило трансляції, яке переписує трафік консолі на тунель. Потрібно також, щоб клієнт пересилав пакети, які він сам не створював, а це інше налаштування, ніж приймати власний трафік. Розв'язання імен має йти тим самим шляхом, інакше консоль розв'язує ігровий сервіс одним маршрутом, а потім підключається іншим. Кожен із цих пунктів — окремий крок налаштування з власним способом відмови.

console -> dedicated ethernet -> windows sharing / nat
        -> selected tunnel interface -> internet

Спільний доступ до інтернет-з'єднання в Windows дає саме таку форму: одне з'єднання призначається публічним, інше приватним. Це призначення важливіше, ніж очікують, бо інтерфейс, що доходить до домашнього маршрутизатора, не обов'язково той, який несе тунель.

Порівняння, які вирішують

Три відмінності відділяють шлюз на ПК від шлюзу на маршрутизаторі, і саме вони проявляються через місяці. Таблиця ставить їх поруч.

Прив'язка до сеансу користувача — перша відмінність і та, що застає зненацька. ПК, який засинає, виходить із системи або встановлює оновлення, перестає бути шлюзом, і консоль втрачає свій шлях, хоча жодне налаштування не змінюється. Видимість політики — друга, бо правила клієнта й рівень спільного доступу живуть у двох місцях і жоден не описує інший. Служба адрес — третя, і вона пояснює консоль, яка має адресу, але все одно нікуди не потрапляє.

Ніщо з цього не робить схему з ПК неправильною. Воно робить її тимчасовим рішенням, що прийнятно, коли вимога тимчасова.

Пересланий трафік — інша категорія

Клієнт на настільному ПК може обробляти пакети, переслані для іншого пристрою, інакше, ніж свої. Список включених програм охоплює процеси на ПК і нічого не говорить про трафік консолі, а вимикач, що захищає локальні програми, може взагалі не захищати пересланий шлях. Підтвердьте задокументовану поведінку клієнта для пересланого трафіку, а не виводьте її з успішного завантаження сторінки на ПК. Там, де ця поведінка неясна, вся схема спирається на припущення.

Адресація консолі має надходити зі схеми спільного доступу, ніколи з копіювання на неї адреси тунелю ПК. Копіювання дає дубльовану адресу, неправильний шлюз і резолвер, що вказує на те, чого консоль не досягне. Дозвольте нижній службі роздати конфігурацію, потім перевірте, що консоль справді отримала.

Перевіряйте трафік консолі, а не ПК

Єдиний осмислений тест спостерігає шлях консолі. На ПК команди нижче показують розкладку інтерфейсів, таблицю сусідів по нижньому каналу й те, чи відповідає консоль на службовому порті. Запускайте їх, коли ігровий сеанс справді підключений.

Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4Address
Get-NetAdapter | Select-Object Name, Status, LinkSpeed
arp -a | findstr 192.168.137.
Test-NetConnection 192.168.137.10 -Port 3074

Інтерфейс без адреси на нижньому боці означає, що спільний доступ так і не почався, і це інша проблема, ніж консоль, яка не може підключитися. Запис для консолі в таблиці сусідів доводить, що канал і адресація живі. Невдалий тест порту після цього вказує на пересилання або на ставлення клієнта до пересланого трафіку, а не на кабель. Порівняйте вихідну адресу консолі з адресою ПК, перш ніж робити висновок, що використовується саме тунель.

Тримайте схему задокументованою з назвами інтерфейсів і діапазонами адрес. Коли вона зламається після наступного оновлення, ця сторінка заощадить годину повторного пошуку.