VPN działa

„VPN działa” to status informacyjny potwierdzający poprawne nawiązanie i utrzymanie tunelu bez zgłaszanych błędów.

Co oznacza komunikat „VPN działa”

Komunikat „VPN działa” informuje, że aplikacja kliencka VPN nawiązała połączenie z serwerem pośredniczącym i utrzymuje aktywny tunel sieciowy. Tunel jest logicznym kanałem między urządzeniem użytkownika a punktem końcowym usługi VPN. Dane przesyłane tym kanałem są obsługiwane zgodnie z konfiguracją wybranego protokołu, metodą uwierzytelniania oraz ustawieniami routingu. Sam status nie jest nazwą konkretnego protokołu ani gwarancją, że każda aplikacja korzysta z tego połączenia.

Poprawne zestawienie tunelu zwykle oznacza, że klient otrzymał odpowiedź od serwera VPN, zaakceptował parametry połączenia i nie wykrył błędu wymagającego rozłączenia. W zależności od programu status może również oznaczać przypisanie wirtualnego adresu IP, dodanie tras do systemowej tablicy routingu albo aktywowanie interfejsu wirtualnego. Szczegóły zależą od użytej aplikacji, systemu operacyjnego i konfiguracji usługi, dlatego dwa programy VPN mogą wyświetlać podobny komunikat po wykonaniu nieco innych czynności.

Aktywny tunel a rzeczywisty przepływ danych

Aktywny status VPN nie potwierdza automatycznie, że wszystkie połączenia internetowe przechodzą przez tunel. O tym decyduje przede wszystkim tryb routingu. W konfiguracji full tunnel trasa domyślna może kierować cały ruch sieciowy do interfejsu VPN, natomiast w konfiguracji split tunnel przez VPN przechodzą tylko wybrane podsieci, adresy lub domeny. W drugim przypadku przeglądarka, komunikator albo aktualizator systemu może korzystać ze zwykłego połączenia lokalnego, mimo że aplikacja VPN pokazuje stan „działa”.

Podobnie status nie musi potwierdzać prawidłowego działania rozwiązywania nazw DNS. Tunel może być ustanowiony, ale zapytania DNS mogą być kierowane do serwera lokalnego, do serwera wskazanego przez VPN albo do innego resolvera ustalonego przez system. Błąd DNS objawia się między innymi brakiem możliwości otwarcia stron po nazwie przy jednoczesnym działaniu połączenia z adresem IP. Osobnym zagadnieniem jest dostęp do sieci lokalnej: niektóre konfiguracje blokują połączenia z urządzeniami w domu lub biurze, a inne pozwalają na nie równolegle z ruchem przez VPN.

Jak zweryfikować działanie połączenia VPN

Weryfikację należy rozpocząć od sprawdzenia interfejsu sieciowego i adresu przydzielonego przez system. W systemie Windows można użyć polecenia ipconfig, aby zobaczyć aktywne karty sieciowe, adresy IPv4, bramę oraz serwery DNS. Polecenie route print pokazuje tablicę routingu, w tym trasę domyślną i trasy kierujące ruch do określonych podsieci. Te informacje pozwalają ustalić, czy połączenie działa jako full tunnel, czy jako split tunnel. Nie należy jednak interpretować samej obecności wirtualnego adaptera jako dowodu, że ruch jest nim kierowany.

Następnie można sprawdzić osiągalność zasobów, do których VPN ma zapewniać dostęp. Test ping może wykazać odpowiedź z danego adresu, ale brak odpowiedzi nie zawsze oznacza awarię, ponieważ zapory sieciowe często blokują protokół ICMP. Do sprawdzenia konkretnego portu w systemie Windows można zastosować Test-NetConnection z adresem hosta i numerem portu. Przy problemach z nazwami przydatne są nslookup albo Resolve-DnsName. Wyniki trzeba porównywać z oczekiwanym zakresem dostępu, ponieważ VPN może działać prawidłowo, a jednocześnie nie zapewniać dostępu do zasobu, którego nie obejmuje konfiguracja tras lub uprawnień.

Warto też sprawdzić dziennik klienta VPN. Log może wskazywać ponowne negocjowanie tunelu, zmianę serwera, błędy uwierzytelniania, odrzucenie certyfikatu, niedostępność portu, konflikt tras albo utratę keepalive. Krótkie przerwy mogą nie zmienić statusu natychmiast, ponieważ aplikacja potrzebuje czasu na wykrycie zerwania połączenia. Jeżeli problem występuje tylko w jednej aplikacji, należy sprawdzić jej proxy, własne reguły routingu oraz zaporę, zamiast zakładać, że uszkodzony jest cały tunel.

Gdy status jest prawidłowy, ale usługa nie działa

Rozbieżność między komunikatem „VPN działa” a brakiem dostępu może wynikać z kilku niezależnych przyczyn. Serwer docelowy może odrzucać adres wyjściowy VPN, zasób może być dostępny wyłącznie z określonej podsieci, a lokalna zapora może blokować ruch z wirtualnego interfejsu. Występują także konflikty adresacji, gdy sieć domowa i sieć dostępna przez VPN używają takiej samej podsieci prywatnej, na przykład z zakresu 192.168.0.0/16. Wtedy system może wybrać niewłaściwą trasę, mimo że sam tunel pozostaje ustanowiony.

Przy diagnostyce należy rozdzielić cztery elementy: zestawienie tunelu, kierowanie pakietów, rozwiązywanie nazw oraz dostępność konkretnego zasobu. Pomaga porównanie zachowania przed połączeniem, po połączeniu i po jego zakończeniu, a także sprawdzenie kilku niezależnych adresów lub usług. Nie powinno się usuwać tras, zmieniać ustawień zapory ani wyłączać zabezpieczeń bez zapisania konfiguracji i ustalenia, jaki efekt ma przynieść dana zmiana. W przypadku laptopa lub komputera PC Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę problemów z oprogramowaniem sieciowym oraz podzespołami odpowiedzialnymi za łączność.