VPN đã kết nối nhưng địa chỉ IP không đổi: vì sao

Bạn kết nối, ứng dụng nói đã kết nối, và bài kiểm tra địa chỉ vẫn hiển thị đúng con số bạn có trước đó. Chỉ báo không có gì sai; một thứ gì đó giữa hồ sơ và ứng dụng đã giữ yêu cầu đó bên ngoài đường hầm. Hãy quyết định bạn đang nhìn vào điều nào trong ba điều trước khi chạm vào bất kỳ cấu hình nào: một bài kiểm tra chưa bao giờ đo địa chỉ công cộng, một đường hầm chỉ bao phủ một phần lưu lượng, hay một con đường thứ hai thắng quyết định định tuyến. Mỗi thứ có một bước kiểm tra mất dưới một phút.

Xác nhận bài kiểm tra thực sự đã đo gì

Địa chỉ hiển thị trong hộp thoại Wi-Fi hoặc Ethernet là địa chỉ giao diện trên phân đoạn của chính bạn, không phải địa chỉ mà một trang web nhìn thấy, nên nó có thể giữ nguyên trong khi đường hầm hoạt động hoàn hảo. Vị trí lại là một tín hiệu riêng: vùng tài khoản đã lưu hoặc một lần đọc định vị địa lý được cho phép không di chuyển khi bạn đổi đầu ra, và một lần đăng nhập đã nhận ra bạn cũng vậy.

Hãy dùng tiếng vọng địa chỉ công cộng và hỏi từng họ riêng, vì kết quả kiểm tra chồng đôi che giấu trường hợp thú vị:

curl -4 -s https://ifconfig.me
curl -6 -s https://ifconfig.me

Chạy cả hai trước và sau khi kết nối. Nếu câu trả lời IPv4 đổi thành địa chỉ đầu ra còn câu trả lời IPv6 thì không, bạn không có đường hầm hỏng; một họ đang đi bên ngoài nó. Nếu cả hai câu trả lời vẫn như cũ, yêu cầu chưa bao giờ đến được đường hầm và phần còn lại ở đây được áp dụng.

Hồ sơ có thể chỉ bao phủ một phần lưu lượng

Hồ sơ đường hầm chia phần là câu trả lời phổ biến, và đó không phải lỗi. OpenVPN chỉ gửi mọi thứ qua đường hầm khi redirect-gateway nằm trong các tùy chọn được đẩy xuống; không có nó, ứng dụng nhận một số tuyến cụ thể và tuyến mặc định của bạn vẫn ở trên liên kết vật lý. Trên Windows cùng công tắc đó hiện ra là «Dùng cổng mặc định trên mạng từ xa» trong thuộc tính IPv4 của bộ điều hợp, và bỏ chọn nó là một lựa chọn có chủ đích tồn tại qua mỗi lần kết nối lại.

Phạm vi theo ứng dụng là lớp thứ hai. Cài đặt VPN theo ứng dụng của Android quyết định ứng dụng nào được bao gồm, nên chìa khóa VPN trên thanh trạng thái không chứng minh trình duyệt nằm bên trong. Một tiện ích mở rộng trình duyệt tự proxy lưu lượng của nó tạo ra hình ảnh phản chiếu: trình duyệt hiển thị địa chỉ đầu ra trong khi ứng dụng thư hoặc trò chơi trên cùng máy vẫn hiển thị địa chỉ của bạn. Hãy so sánh cùng một yêu cầu trong hai ứng dụng. Nếu một cái thay đổi và cái kia không, bạn đang nhìn vào phạm vi, không phải một đường hầm thất bại.

Một họ địa chỉ vẫn có thể đi trực tiếp

Hầu hết hồ sơ VPN được viết cho IPv4, và nhiều hồ sơ vẫn như vậy. Trên mạng chồng đôi, đường hầm lấy 10.8.0.x cho IPv4 trong khi liên kết vật lý giữ một địa chỉ IPv6 toàn cầu và một tuyến mặc định, nên một trang hỗ trợ IPv6 được tiếp cận trực tiếp và địa chỉ nó báo cáo là của nhà cung cấp bạn. Đó là một sự rò rỉ với đường hầm IPv4 đang hoạt động, và nó vô hình với một bài kiểm tra chỉ nói IPv4.

ip -4 route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Đọc giao diện trong mỗi câu trả lời. Nếu tra cứu IPv6 nêu tên thiết bị Ethernet hoặc Wi-Fi của bạn trong khi tra cứu IPv4 nêu tên đường hầm, chính sách cho họ đó đang thiếu chứ không phải bị hỏng. Tắt IPv6 trên toàn thiết bị làm triệu chứng biến mất và che giấu quyết định; hãy sửa độ phủ của hồ sơ hoặc vô hiệu hóa họ đó chỉ trên kết nối ấy, và ghi lại bạn đã chọn cách nào trong hai cách.

Một con đường thứ hai có thể thắng tra cứu

Một proxy cạnh tranh, một ứng dụng VPN thứ hai, một bộ điều hợp ảo từ vùng chứa hoặc công cụ máy tính từ xa, hoặc một tuyến thêm cho đúng tiền tố bạn đang kiểm tra đều có thể được ưu tiên. Một tuyến cụ thể luôn thắng tuyến mặc định, nên /24 còn lại cho trang bạn đang đo, trỏ tới cổng LAN của bạn, tiếp tục gửi lưu lượng đó ra ngoài đường hầm dù đường hầm có khỏe đến đâu.

Lập danh mục trước khi thay đổi bất cứ điều gì, bằng các lệnh chỉ đọc:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
nmcli connection show --active

Hãy tìm nhiều hơn một tuyến mặc định với số đo hợp lý, và một tuyến cụ thể bao phủ đích. Trong trình duyệt, cũng kiểm tra xem tiện ích proxy hay cài đặt proxy của hệ thống có sở hữu kết nối không; tiện ích có thể nêu tên thượng nguồn của riêng nó và để đầu ra của hệ điều hành không bị đụng tới, điều này tạo ra một địa chỉ khác trong trình duyệt so với trong terminal trên cùng máy.

Đo lại bằng một yêu cầu mới

Kết nối lại, rồi lặp lại phép đo từ cùng ứng dụng bạn đã kiểm tra lần đầu, vì một trang được lưu đệm hoặc một kết nối được dùng lại báo cáo trạng thái cũ. Theo dõi nhật ký hoặc chế độ xem sự kiện của ứng dụng trong lúc kết nối: lỗi khi áp dụng tuyến sau xác thực là bằng chứng mạnh hơn bất kỳ chỉ báo nào, và nó thường nêu tên tuyến hoặc bộ điều hợp đã thất bại.

Giữ hai kết quả tách biệt. Nếu địa chỉ thay đổi nhưng một trang vẫn từ chối bạn, đường hầm vẫn hoạt động và trang đang từ chối một địa chỉ trung tâm dữ liệu; đó là vấn đề khác với câu trả lời khác. Nếu địa chỉ không bao giờ thay đổi, hãy đi qua bốn câu hỏi theo thứ tự: bài kiểm tra in ra địa chỉ nào, đó là họ nào, ứng dụng nào đã gửi yêu cầu và yêu cầu đó đi theo tuyến nào. Tài liệu của Microsoft về các quyết định định tuyến VPN giải thích cách một ứng dụng Windows chọn giữa đường hầm và bộ điều hợp vật lý khi cả hai đều có tuyến.