VPN Windows'da mahalliy LANni bloklaydi: marshrutmi yoki mijoz siyosatimi?
Windows'da mahalliy LANga kirish ikki xil sababdan buziladi: yo'q marshrut yoki subnetni tashlab yuboradigan shlyuz siyosati. Uch tekshiruv qaysi ekanini aytadi.
O'z stolingizdagi printer, NAS yoki ishlab chiqish mashinasi ish VPNi ulanadigan paytda javob berishni to'xtatadi. Ba'zan bitta marshrut buyrug'i buni soniyalarda tuzatadi; ba'zan o'sha marshrut to'g'ri bo'lsa ham paketlar baribir yo'qoladi, ya'ni o'xshash alomatli boshqa muammoni ko'ryapsiz. Qaror uchta savolga keladi va ularni noto'g'ri tartibda berish odamlarning butun oqshomni marshrutlarni o'chirib, qayta qo'shishga sarflashining sababidir.
Har qanday buyruqdan oldin uchta savol
Birinchisi: mahalliy prefiks uchun yozuv bormi va u jismoniy adapterga ishora qiladimi? Ikkinchisi: ulanish paytida mijoz shlyuzdan mahalliy tarmoqqa ruxsat yoki taqiq oladimi? Uchinchisi: sizga faqat LANga chiquvchi kirish kerakmi, yoki internetdagi bir narsa ham sizning mashinangizda ishlaydigan xizmatga yetib borishi kerakmi?
Birinchi savol marshrutlash nosozligini filtrlash nosozligidan ajratadi. Ikkinchisi marshrut tuzatishiga umuman ishlashga ruxsat bor-yo'qligini aytadi. Uchinchisi tuzatishni o'zgartiradi: marshrut chiquvchi trafikni tuzatadi, yetib bo'lmaydigan kiruvchi xizmat esa odatda tinglovchini bog'lash va qaytish yo'li muammosi bo'lib, marshrut uni yanada yomonlashtiradi.
| What you see | What it points at |
|---|---|
| No local prefix in the table | Missing route |
| Correct prefix, no reply | Client filter or gateway policy |
| Works by IP, fails by name | Resolver changed by the tunnel |
| Inbound service dies, outbound fine | Return path or listener binding |
Birinchi savol: marshrut, filtr yoki nom
Biror narsa qo'shishdan oldin jadvalni o'qing. Interfeys indeksi muhim, chunki quyidagi har bir marshrut buyrug'i unga bog'langan:
route print -4
Get-NetRoute -DestinationPrefix 192.168.1.0/24 | Format-Table InterfaceIndex,NextHop,RouteMetricTo'g'ridan-to'g'ri ulangan subnet odatda tunnel ko'tarilganda ham on-link marshrutni saqlaydi, shuning uchun yozuv mavjud bo'lishi mumkin va trafik baribir ishlamasligi mumkin. Bu birikma marshrutlashdan keyin ishlaydigan filtrning imzosi va ikkinchi, aniqroq marshrut hech narsani o'zgartirmaydigan holatdir.
Manzil bo'yicha va nom bo'yicha alohida sinang. Agar ping 192.168.1.50 javob bersa, net view 192.168.1.50 bermasa, marshrutlash jadvali hech qachon muammo bo'lmagan: tunnel resolverni o'zgartirgan va mahalliy nom endi hal qilinmaydi. Buning uchun marshrut qo'shish behuda ish.
Ikkinchi savol: shlyuz mahalliy LANga kirishga ruxsat beradimi?
Tijoriy mijoz marshrutlardan ko'proq narsani o'rnatadi. U ulanish paytida siyosat oladi va bu siyosat mahalliy tarmoqqa aniq ruxsatni o'z ichiga olishi mumkin. Cisco IPsec joylashtirishlarida guruh siyosati split-tunneling sozlamasini va mahalliy LANga kirish uchun alohida bayroqni olib yuradi; mijozdagi belgilash katakchasi shlyuz rad etishi mumkin bo'lgan so'rovdir. AnyConnectda profil splitning kiritish va chiqarish ro'yxatlarini va xuddi shu ruxsatni boshqaradi. Windows RRASda ekvivalentlar profildagi standart shlyuz varianti va server beradigan statik marshrutlardir.
Bayroq o'chirilganda, hujjatlashtirilgan xatti-harakat mijoz to'g'ridan-to'g'ri ulangan subnetga trafikni to'sishidir, garchi haqiqiy, aniqroq marshrut mavjud bo'lsa ham. Shuning uchun mijozga tegishli bo'lmagan marshrutlar ham qo'shilgandan keyin bir necha soniyada yo'qolishi mumkin: mijoz o'ziga aytilgan holatni qayta qurmoqda, siz bilan kurashmayapti.
Mijoz jurnali ulanish paytidagi qarorni yozadi va uni o'qish mashinadagi har qanday tajribadan tezroq. Agar jurnal mahalliy kirish bloklanganini aytsa, to'xtang: hech qanday buyruq qatori tuzatishi bunga dosh bermaydi va qolgan yo'llar siyosatni o'zgartirish, tunnel orqali resursga yetish yoki mijozni virtual mashinaga qamab, xostni mahalliy tarmoqda qoldirishdir.
Uchinchi savol: sizga qaysi yo'nalish kerak?
Yaqin qurilmaga chiquvchi trafik marshrutlash savoli. LAN prefiksini mahalliy shlyuzga tunnelning standart marshrutini yengadigan darajada past metrika bilan yo'naltiring:
route add 192.168.1.0 mask 255.255.255.0 192.168.1.1 metric 1 if 12
route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 -pIkkinchi shakl bitta qurilmani mahkamlaydi va bitta manzil butun talab bo'lganda siz shuni xohlaysiz. netsh ekvivalenti xuddi shu qarorni indeks o'rniga interfeys nomi bilan yozadi:
netsh interface ipv4 add route prefix=192.168.1.0/24 interface=12 nexthop=192.168.1.1 store=persistentManzil va mask mos kelmasa, marshrut buyruqlari Parametr noto'g'ri bilan ishlamaydi, masalan /24 maskli xost manzili. Subnet marshruti uchun tarmoq manzilini, bitta xost uchun xost maskasini ishlating.
Kiruvchi trafik boshqacha. Xuddi shu mashinadagi VNC yoki SSH serveri kiruvchi ulanishga javoblar VPN shlyuzidan chiqib, hech qachon qaytmasa, yetib bo'lmaydigan bo'ladi. Marshrutlarga tegishdan oldin xizmat nimani tinglayotganini tekshiring:
netstat -ano | findstr :5900Bitta aniq manzilga bog'langan tinglovchi boshqa interfeysda javob bermaydi. Uni barcha interfeyslarga bog'lash ongli qaror bo'lib, siz ishonadigan tarmoq bilan cheklangan firewall qoidasi bilan birga qabul qilinadi. Shundan keyingina marshrut tuzatishi qaytish yo'lini tiklaydi.
Mos keladigan eng kichik o'zgarishni qo'llang
Boshqa keng tarqalgan qadam IPv4 kengaytirilgan xususiyatlarida «Masofaviy tarmoqda standart shlyuzdan foydalanish» belgisini olib tashlashdir. Bu internet trafigini mahalliy saqlaydi, lekin bir vaqtning o'zida ikki ish qiladi: VPN standart yo'l bo'lishdan chiqadi va mijoz masofaviy tarmoq uchun marshrutlarni, multicastni ham, olishni to'xtatadi. Belgini olib tashlang va masofaviy LAN yo'qoladi, agar server har bir mijozga kerak bo'lgan aniq masofaviy prefikslarni itarib yubormasa.
Bu assimetriya ish tartibini belgilaydi. Agar masofaviy tomon to'liq ochiq qolishi kerak bo'lsa, masofaviy subnetlarni serverdan itaring va mahalliy standartni tinch qo'ying. Serverni o'zgartira olmasangiz, tunnel bergan manzil orqali masofaviy prefiksga doimiy marshrut qo'shing va route print bilan prefiks VPN interfeysiga, standart esa hali ham jismoniy shlyuzga ishora qilishini tekshiring.
Keyin tuzatish qayta ulanishdan omon qolishini tasdiqlang, chunki doimiy bo'lmagan marshrutlar adapter bilan birga o'ladi va har bir ulanishdan keyin ishlaydigan skript ular uchun halol joy. Xuddi shu sessiyada bitta mahalliy qurilma va bitta masofaviy resursni sinang, uzing, qayta ulaning va yana sinang. Marshrut to'g'ri ko'rinib turgan bo'lsa ham mahalliy qurilma hali ham ishlamasa, ikkinchi savolga qayting: mijoz filtrlamaqda va javob siyosatni o'zgartirish, ikkinchi raqobatdosh marshrut emas.