VPN підключено, але IP-адреса не змінилася: чому

Ви підключаєтеся, клієнт каже підключено, а перевірка адреси досі показує те саме число, що було раніше. З індикатором усе гаразд; щось між профілем і застосунком залишило цей запит поза тунелем. Визначте, на що з трьох ви дивитеся, перш ніж торкатися будь-якої конфігурації: тест, який жодного разу не виміряв публічну адресу, тунель, що охоплює лише частину трафіку, або другий шлях, який виграє рішення про маршрутизацію. Кожен має одну перевірку, що займає менше хвилини.

Підтвердьте, що саме виміряв тест

Адреса в діалозі Wi-Fi або Ethernet — це адреса інтерфейсу у вашому власному сегменті, а не адреса, яку бачить сайт, тому вона може залишатися незмінною, поки тунель працює бездоганно. Місцеположення знову окремий сигнал: збережений регіон облікового запису або дозволене читання геолокації не зміщуються, коли ви змінюєте вихід, і вхід, який уже впізнає вас, теж.

Використайте відлуння публічної адреси й запитуйте кожну родину окремо, бо результат тесту з подвійним стеком приховує цікавий випадок:

curl -4 -s https://ifconfig.me
curl -6 -s https://ifconfig.me

Запустіть обидва до та після підключення. Якщо відповідь IPv4 змінюється на адресу виходу, а відповідь IPv6 ні, у вас не зламаний тунель; одна родина йде поза ним. Якщо обидві відповіді залишаються тими самими, запит так і не дійшов до тунелю і решта тут застосовна.

Профіль може охоплювати лише частину трафіку

Профіль із розділеним тунелем — звичайна відповідь, і це не дефект. OpenVPN надсилає все через тунель лише коли redirect-gateway є серед переданих параметрів; без нього клієнт отримує кілька конкретних маршрутів, а ваш маршрут за замовчуванням залишається на фізичному каналі. У Windows той самий перемикач відображається як «Використовувати основний шлюз у віддаленій мережі» у властивостях IPv4 адаптера, і його зняття — свідомий вибір, що переживає кожне перепідключення.

Охоплення за застосунками — другий шар. Налаштування VPN для окремих застосунків в Android вирішує, які застосунки включені, тому ключ VPN у рядку стану не доводить, що браузер усередині. Розширення браузера, яке проксіює власний трафік, створює дзеркальну картину: браузер показує адресу виходу, а поштовий клієнт або гра на тій самій машині все ще показує вашу. Порівняйте той самий запит у двох застосунках. Якщо одне змінюється, а інше ні, ви дивитеся на охоплення, а не на збійний тунель.

Одна родина адрес усе ще може йти напряму

Більшість профілів VPN написано для IPv4, і багато досі такі. У мережі з подвійним стеком тунель бере 10.8.0.x для IPv4, а фізичний канал зберігає глобальну адресу IPv6 і маршрут за замовчуванням, тож сайт із підтримкою IPv6 доступний напряму, і адреса, яку він повідомляє, — це адреса вашого постачальника. Це витік при робочому тунелі IPv4, і він невидимий для тесту, що говорить лише IPv4.

ip -4 route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Читайте інтерфейс у кожній відповіді. Якщо пошук IPv6 називає ваш пристрій Ethernet або Wi-Fi, а пошук IPv4 називає тунель, політика для цієї родини відсутня, а не зламана. Вимкнення IPv6 на всьому пристрої прибирає симптом і приховує рішення; краще виправте покриття профілю або вимкніть родину лише на цьому з'єднанні й запишіть, який із двох варіантів ви обрали.

Другий шлях може виграти пошук

Конкурентний проксі, другий клієнт VPN, віртуальний адаптер із контейнера або інструменту віддаленого робочого столу чи додатковий маршрут саме для префікса, який ви тестуєте, можуть отримати пріоритет. Конкретний маршрут завжди перемагає маршрут за замовчуванням, тому залишковий /24 для сайту, який ви міряєте, що вказує на ваш LAN-шлюз, продовжує надсилати цей трафік поза тунелем, яким би здоровим не був тунель.

Складіть перелік, перш ніж щось змінювати, командами лише для читання:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
nmcli connection show --active

Шукайте більше одного маршруту за замовчуванням із правдоподібною метрикою та конкретний маршрут, що покриває призначення. У браузері також перевірте, чи володіє з'єднанням проксі-розширення або системне налаштування проксі; розширення може назвати власний висхідний потік і залишити вихід операційної системи недоторканим, що дає іншу адресу в браузері, ніж у терміналі на тій самій машині.

Виміряйте знову зі свіжим запитом

Перепідключіться, потім повторіть вимірювання з того самого застосунку, у якому перевіряли першого разу, бо сторінка з кешу або повторно використане з'єднання повідомляє старий стан. Стежте за журналом або поданням подій клієнта під час підключення: помилка застосування маршрутів після автентифікації — сильніший доказ, ніж будь-який індикатор, і зазвичай вона називає маршрут або адаптер, що не спрацював.

Тримайте два результати окремо. Якщо адреса змінюється, але один сайт усе ще відмовляє вам, тунель працює, а сайт відхиляє адресу дата-центру; це інша проблема з іншою відповіддю. Якщо адреса ніколи не змінюється, пройдіть чотири питання по черзі: яку адресу надрукував тест, яка це була родина, який застосунок зробив запит і яким маршрутом цей запит пішов. Документація Microsoft про рішення маршрутизації VPN пояснює, як клієнт Windows вибирає між тунелем і фізичним адаптером, коли обидва мають маршрут.