Split tunneling nie działa poprawnie

Split tunneling niedziałający poprawnie wskazuje na błędną konfigurację tras wyłączonych z tunelu VPN, powodującą wyciek ruchu poza tunel.

Split tunneling nie działa poprawnie – na czym polega problem

Split tunneling to sposób kierowania ruchu sieciowego, w którym tylko wybrane połączenia przechodzą przez tunel VPN, a pozostałe korzystają bezpośrednio z lokalnego łącza internetowego. Takie rozwiązanie może ograniczać obciążenie VPN i pozwalać na jednoczesny dostęp do zasobów prywatnych oraz publicznych, jednak wymaga spójnej konfiguracji tras, interfejsów i reguł zapory. Gdy split tunneling nie działa poprawnie, komputer może przesyłać niektóre dane niewłaściwą drogą, tracić dostęp do wybranych usług albo kierować cały ruch przez VPN mimo ustawionych wyjątków.

Objawy bywają mylące. Strona internetowa może otwierać się prawidłowo, podczas gdy aplikacja korzystająca z prywatnego adresu przestaje odpowiadać. W innym przypadku zasób dostępny wcześniej bez VPN działa dopiero po jego uruchomieniu, a po rozłączeniu tunelu pojawia się komunikat o braku dostępu. Problem może dotyczyć jednego komputera, konkretnej sieci Wi-Fi albo wszystkich urządzeń używających tej samej konfiguracji VPN. Warto więc rozpatrywać nie tylko sam program VPN, lecz także tablicę routingu, system nazw domen, zaporę i ustawienia sieci lokalnej.

Split tunneling nie działa poprawnie a trasy, priorytety i DNS

Najczęstszą przyczyną jest nieprawidłowa trasa dla konkretnego adresu lub całej podsieci. System wybiera drogę na podstawie najbardziej szczegółowego dopasowania, a przy podobnych wpisach znaczenie ma również metryka interfejsu. Jeżeli trasa do prywatnego zasobu wskazuje na zwykłą kartę sieciową zamiast na interfejs VPN, połączenie nie dotrze do właściwej sieci. Odwrotna sytuacja powoduje przejęcie przez tunel ruchu, który miał korzystać z lokalnego połączenia.

Weryfikacja powinna obejmować aktualną tablicę routingu oraz adres bramy przypisany do poszczególnych wpisów. W systemie Windows pomocne są polecenia route print, ipconfig /all i tracert, natomiast w systemach opartych na Linuksie można użyć między innymi ip route oraz ip addr. Same wyniki nie wystarczą bez porównania ich ze stanem przed połączeniem VPN i po jego nawiązaniu. Szczególnie istotne jest sprawdzenie, czy klient VPN nie dodaje trasy domyślnej, nie usuwa wyjątków albo nie zmienia metryki istniejących interfejsów.

Osobny problem stanowi DNS. Nawet gdy pakiety są kierowane właściwą trasą, komputer może otrzymywać adres usługi z niewłaściwego serwera nazw. Nazwa wewnętrzna może zostać rozwiązana przez publiczny DNS, a nazwa publiczna przez serwer dostępny wyłącznie przez VPN. W efekcie pojawia się wrażenie niedziałającego routingu, chociaż przyczyną jest rozbieżność między rozwiązywaniem nazw a drogą przesyłania danych. Należy sprawdzić serwery DNS, kolejność ich użycia, reguły dla domen oraz zachowanie pamięci podręcznej.

Warto odróżnić split tunneling od pełnego tunelowania. Przy pełnym tunelowaniu cały ruch przechodzi przez VPN, co upraszcza kontrolę nad trasami, ale może zwiększać opóźnienia i obciążenie łącza. Przy podziale ruchu większą rolę odgrywają wyjątki, adresy podsieci i reguły aplikacyjne. Nie istnieje jedna uniwersalna lista tras odpowiednia dla każdego środowiska, ponieważ zależy ona od używanego klienta VPN, systemu operacyjnego, topologii sieci oraz sposobu uwierzytelniania.

Split tunneling nie działa poprawnie – typowe symptomy i źródła błędów

• Nie można otworzyć zasobu po adresie prywatnym, choć połączenie z VPN jest oznaczone jako aktywne.
• Strony publiczne przestają działać po uruchomieniu tunelu, ponieważ trasa domyślna została skierowana do VPN.
• Jedna aplikacja działa, a druga nie, co może wskazywać na różne adresy docelowe, porty lub własne mechanizmy rozwiązywania nazw.
• Po uśpieniu komputera albo zmianie sieci trasy pozostają nieaktualne i wymagają ponownego zestawienia VPN.
• Połączenie działa przez Wi-Fi, lecz nie przez przewodową kartę sieciową albo odwrotnie, ponieważ interfejsy mają różne priorytety.
• Adres IP widoczny w usłudze internetowej zmienia się wbrew oczekiwaniom, co może oznaczać, że ruch publiczny został przejęty przez tunel.
• Po rozłączeniu VPN nadal występują problemy z dostępem, gdy klient nie usunął dodanych tras lub reguł zapory.

Do błędu mogą doprowadzić także nakładające się podsieci. Jeżeli sieć lokalna i sieć dostępna przez VPN używają tego samego zakresu adresów, system nie zawsze potrafi jednoznacznie wybrać właściwy interfejs. Zdarza się wtedy, że żądanie trafia do lokalnego urządzenia zamiast do zasobu po drugiej stronie tunelu. Podobny efekt może wystąpić przy ręcznie wpisanych trasach, nieaktualnym profilu VPN, błędnym zakresie adresów lub zmianie ustawień po stronie administratora sieci.

Nie należy pomijać zapory systemowej oraz programów ochronnych. Reguła może zezwalać na ruch przez jeden interfejs, ale blokować ten sam proces na innym. Czasami blokowany jest nie sam adres, lecz określony port albo protokół. Diagnostykę warto prowadzić na prostym przykładzie: najpierw sprawdzić osiągalność bramy, następnie adresu w tej samej podsieci, a dopiero później konkretnej usługi. Taka kolejność ułatwia rozdzielenie problemu z trasą od problemu z aplikacją.

Split tunneling nie działa poprawnie – praktyczne sprawdzanie konfiguracji

Najbezpieczniej rozpocząć od zapisania stanu sieci bez aktywnego VPN. Należy zanotować adres IP komputera, bramę, serwery DNS oraz wynik trasy do przykładowego zasobu. Następnie trzeba nawiązać tunel i wykonać te same testy. Porównanie pokazuje, które elementy zostały zmienione przez klienta. Przydatne jest sprawdzenie zarówno nazwy hosta, jak i jego adresu IP, ponieważ różne wyniki dla tych dwóch wariantów wskazują na problem z DNS.

W konfiguracji klienta VPN należy przejrzeć opcje określane jako split tunneling, allowed routes, excluded routes, lokalny dostęp, dostęp do sieci LAN lub kierowanie ruchem aplikacji. Nazewnictwo może się różnić, dlatego sama obecność przełącznika nie potwierdza prawidłowej pracy. Istotne jest ustalenie, czy wyjątek dotyczy pojedynczego adresu, całej podsieci, domeny, procesu czy portu. W przypadku aplikacji używającej kilku usług konieczne może być uwzględnienie wielu adresów docelowych.

Po każdej zmianie należy rozłączyć i ponownie połączyć VPN, a następnie powtórzyć testy. W części programów modyfikacja ustawień nie odświeża tras w aktywnej sesji. Pomocne może być również wyczyszczenie pamięci DNS, ponowne uruchomienie interfejsu sieciowego i sprawdzenie, czy nie pozostały stare wpisy. Nie powinno się jednak usuwać przypadkowych tras systemowych bez wcześniejszego zapisania konfiguracji, ponieważ może to utrudnić przywrócenie połączenia.

Warto prowadzić krótki dziennik testów: godzina, używana sieć, stan VPN, adres docelowy, wybrany interfejs oraz rezultat. Dzięki temu można ustalić, czy problem jest stały, czy pojawia się tylko po zmianie sieci, restarcie lub wznowieniu pracy urządzenia. Jeżeli konfiguracja jest zarządzana centralnie, lokalne poprawki mogą zostać nadpisane przy kolejnym logowaniu. W takim przypadku potrzebna jest weryfikacja profilu źródłowego, a nie tylko ustawień widocznych w aplikacji użytkownika.

Split tunneling nie działa poprawnie – kiedy zgłosić urządzenie do serwisu

Zgłoszenie do serwisu jest uzasadnione, gdy problem powtarza się mimo poprawnego profilu VPN, dotyczy kilku aplikacji albo pojawił się po aktualizacji systemu, sterownika lub programu ochronnego. Szczególnej uwagi wymaga sytuacja, w której występują jednocześnie błędne trasy, niedostępne zasoby i nieoczekiwane zmiany adresu publicznego. Wtedy potrzebna jest analiza całego łańcucha połączenia: karty sieciowej, sterownika, ustawień systemowych, klienta VPN, DNS oraz zapory.

Przed przekazaniem komputera warto przygotować nazwę używanego klienta VPN, informację o systemie, opis zasobu, który nie działa, oraz wskazanie, czy problem pojawia się w każdej sieci. Przydatne są również zrzuty ustawień i wyniki poleceń diagnostycznych, o ile nie zawierają danych logowania ani poufnych adresów. Nie należy udostępniać haseł, kluczy prywatnych ani plików konfiguracyjnych zawierających sekrety.

Warszawskie Pogotowie Komputerowe 24/7 zajmuje się analizą problemów z połączeniami sieciowymi na komputerach używanych w domu i w pracy. W ramach sprawdzenia można ustalić, czy przyczyną jest trasa, DNS, zapora, sterownik, konflikt podsieci czy nieprawidłowe ustawienie klienta VPN. Po zakończeniu diagnostyki można uporządkować konfigurację, opisać zastosowane zmiany i wskazać sposób bezpiecznego sprawdzania połączenia po kolejnych aktualizacjach.

Do serwisu warto zgłosić się również wtedy, gdy split tunneling działa tylko chwilowo, a ponowne uruchomienie komputera zmienia rezultat. Taki objaw może oznaczać konflikt usług uruchamianych przy starcie, opóźnione dodawanie tras albo pozostawione reguły po wcześniejszym oprogramowaniu VPN. Im dokładniej opisane są moment wystąpienia usterki i wykonywane czynności, tym łatwiej odtworzyć warunki problemu i przywrócić stabilne działanie połączeń.