General failure khi ping một địa chỉ LAN trong lúc bật ứng dụng VPN
Windows báo không thể tiếp cận bất kỳ bộ điều hợp nào trong khi bảng định tuyến trông vẫn đúng. Hãy xác định chặn là do định tuyến, do lọc hay do ứng dụng.
Một tuyến host, một địa chỉ, và ping thất bại ngay lập tức với General failure thay vì để yêu cầu hết thời gian chờ. Chính sự khác biệt đó là toàn bộ chẩn đoán. Hết thời gian chờ nghĩa là gói đã rời đi và có gì đó đã bỏ qua nó. General failure nghĩa là Windows không thể chuyển gói cho bất kỳ giao diện nào ngay từ đầu.
Vì vậy khi bảng định tuyến trông hoàn hảo mà lỗi vẫn là General failure, việc chặn xảy ra bên dưới quyết định định tuyến, và ứng dụng của nhà cung cấp chính là thứ hoạt động ở đó.
Đọc lỗi trước khi xem bảng định tuyến
Windows trả lại lỗi đó khi không tìm thấy giao diện để gửi, và nó không nói gì về những gì đích sẽ làm với gói. Khả năng tiếp cận, tường lửa ở đầu xa và tính sẵn sàng của dịch vụ đều là những câu hỏi về sau mà bạn chưa chạm tới.
Cấu hình cổ điển cho trường hợp này là một tuyến host trỏ một địa chỉ LAN duy nhất tới cổng vật lý để nó đi vòng qua đường hầm. route add chấp nhận nó, route print hiển thị nó, và ping vẫn thất bại, vì trình điều khiển lọc đã quyết định rằng gói không được phép ra ngoài.
Trước khi chấp nhận lời giải thích đó, hãy xác nhận tuyến thực sự được chọn: kiểm tra chỉ số giao diện và số đo, và bảo đảm mục nhập không cũ sau khi kết nối lại. Một tuyến trỏ tới giao diện không còn tồn tại tạo ra lỗi tương tự vì một lý do kém thú vị hơn nhiều.
Ba lớp, ba chủ sở hữu khác nhau
Lớp thắng là lớp chạy sau cùng, và ba lớp này không theo thứ tự mà phần lớn người ta giả định.
| Layer | What it decides |
|---|---|
| Routing table | Which interface and next hop should carry the packet |
| Client filter driver | Whether this packet is permitted to leave outside the tunnel at all |
| Client feature | Whether a named feature, such as LAN blocking, is active right now |
Lớp giữa là lý do một tuyến có thể vừa đúng vừa vô dụng cùng lúc. Ứng dụng của nhà cung cấp cài một bộ lọc và các quy tắc tường lửa để lưu lượng ngoài đường hầm bị bỏ, và đó chính là cơ chế thực thi công tắc khẩn cấp của họ. Không gì trong bảng định tuyến tham gia vào quyết định đó.
Lớp thứ ba giải thích một báo cáo lạ đến đều đặn: mạng con cục bộ không tiếp cận được ngay cả sau khi ngắt kết nối ứng dụng. Dịch vụ vẫn chạy và bộ lọc vẫn được cài, nên không kết nối không giống với không lọc. Hãy thoát khỏi ứng dụng thay vì chỉ ngắt kết nối trước khi kết luận bất cứ điều gì.
Nên thử gì, theo thứ tự
Bắt đầu bằng việc gỡ những tính năng rẻ để gỡ và dễ khôi phục. Tính năng khám phá LAN, đôi khi được gọi là vô hình trên LAN, chặn lưu lượng tới các dải địa chỉ riêng để máy vẫn ẩn với hàng xóm. Máy in, máy chủ tệp cục bộ và cả bộ định tuyến đều biến mất sau công tắc đó. Các tính năng bảo vệ chống mối đe dọa có lọc DNS cài các móc riêng và được báo cáo là phá khả năng tiếp cận cục bộ theo cách gần như tương tự.
Tắt cả hai, thoát hoàn toàn khỏi ứng dụng, rồi kiểm tra địa chỉ. Trình tự đó tách một tính năng đang chặn lưu lượng khỏi một đường hầm định tuyến sai, và chỉ mất hai phút thay vì cả buổi chiều với các tuyến tĩnh.
ping 192.168.1.50
tracert -d 192.168.1.50
route print -4Nếu địa chỉ trả lời sau khi tắt các tính năng, bạn có một quyết định chính sách chứ không phải lỗi: chọn giữa để tính năng tắt, thêm một ngoại lệ, hoặc chấp nhận rằng máy vẫn vô hình trên mạng cục bộ.
Dùng đường ngoại lệ của ứng dụng, một cách hẹp
Khi một tính năng buộc phải bật, đường hầm chia của chính ứng dụng là lối thoát được hỗ trợ. Giữ ngoại lệ nhỏ nhất mà yêu cầu cho phép, thường nghĩa là một địa chỉ host cho một máy chủ hoặc một tiền tố cho một phân đoạn. Một quy tắc bao trùm cả dải riêng là lỗ hổng vĩnh viễn mà không ai nhớ đã thêm và không ai dám gỡ.
Sau đó xác minh trước bằng địa chỉ và sau bằng tên. Nếu địa chỉ trả lời với chặng đầu tiên trên cổng vật lý, ngoại lệ hoạt động. Nếu tên vẫn thất bại, bạn đã chuyển sang DNS, vì trình phân giải của đường hầm không biết vùng cục bộ và không thay đổi định tuyến nào dạy được nó.
Giữ tuyến hoặc ngoại lệ, không giữ cả hai, kèm ghi chú về cái nào đang làm việc. Hai cơ chế chồng lấn che giấu nhau, và người tiếp theo gỡ lỗi máy này sẽ gỡ một trong hai và không thấy thay đổi nào.
Khi chính ứng dụng là vật cản
Một số bản dựng lọc lưu lượng theo cách mà cả tuyến tĩnh lẫn ngoại lệ của ứng dụng đều không thắng được. Khi đó là phát hiện, lựa chọn trung thực là chờ tính năng vòng tránh hoặc kết nối bằng ứng dụng OpenVPN đơn giản dùng hồ sơ của chính nhà cung cấp, đúng như câu trả lời của bộ phận hỗ trợ nhà sản xuất trong báo cáo gốc khuyến nghị.
Hiểu sự đánh đổi trước khi thực hiện thay thế đó. Một hồ sơ đơn giản hoạt động như mọi đường hầm thông thường: nó cài các tuyến của mình và không tái cấu trúc phần còn lại của ngăn xếp, nên một tuyến host hẹp vẫn hoạt động như bạn mong đợi. Điều bạn mất là mọi thứ mà ứng dụng có thương hiệu đã triển khai quanh đường hầm, gồm công tắc khẩn cấp và lọc DNS, và những thứ đó phải được tái tạo có chủ đích hoặc chấp nhận là không có.
Dù bạn chọn gì, hãy ghi lại lớp nào sở hữu việc chặn. Một gói không bao giờ rời khỏi máy là kết quả của bộ lọc, và không thay đổi định tuyến nào sửa được bộ lọc.