VPN działa tylko na niektórych interfejsach

VPN działający tylko na niektórych interfejsach sieciowych wskazuje na konflikt trasowania — tabela routingu preferuje inny interfejs niż ten, przez który VPN oczekuje ruchu wyjściowego.

VPN działa tylko na niektórych interfejsach — co oznacza ten problem

Objaw polegający na tym, że połączenie VPN funkcjonuje przez jeden interfejs sieciowy, lecz nie działa przez inny, zwykle wskazuje na niezgodność pomiędzy konfiguracją tunelu a sposobem kierowania pakietów. Interfejsem może być karta Ethernet, sieć bezprzewodowa, modem komórkowy, adapter USB albo dodatkowe połączenie wykorzystywane przez maszynę wirtualną. Sam klient VPN może uruchamiać się poprawnie, a nawet sygnalizować zestawienie tunelu, jednak część ruchu nie trafia do niego właściwą drogą.

W praktyce oznacza to, że system rozdziela ruch według adresu docelowego, metryki połączenia, tablicy routingu oraz reguł przypisanych do poszczególnych interfejsów. Jeżeli trasa do zasobów firmowych lub prywatnych zostanie związana z inną kartą niż ta oczekiwana przez VPN, dostęp będzie działał tylko w wybranych warunkach. Czasem połączenie jest dostępne przez Wi-Fi, ale zanika po podłączeniu przewodu sieciowego. W innym przypadku tunel działa przez Ethernet, lecz nie przenosi danych po przełączeniu na hotspot telefonu.

Nie należy utożsamiać samego ustanowienia tunelu z poprawnym przekazywaniem całego ruchu. Możliwe jest pomyślne uwierzytelnienie, przydzielenie adresu wirtualnego i utrzymanie sesji, a jednocześnie brak dostępu do wybranych serwerów, udziałów sieciowych lub aplikacji. Przyczyną może być zarówno trasa dodana przez klienta VPN, jak i zasada systemowa, zapora, filtr ruchu albo ustawienie określające, z którego połączenia ma korzystać komunikacja.

Jak routing i interfejsy wpływają na działanie tunelu

Każdy interfejs sieciowy otrzymuje własne parametry, między innymi adres IP, maskę, bramę oraz priorytet. Na ich podstawie tworzony jest zestaw tras wskazujących, którędy powinny zostać wysłane pakiety. Po uruchomieniu VPN dochodzą trasy prowadzące przez interfejs wirtualny. Jeżeli kilka reguł pasuje do tego samego adresu, wybierana jest ta bardziej szczegółowa, a przy podobnym dopasowaniu znaczenie może mieć metryka lub priorytet interfejsu.

Występują dwa podstawowe modele kierowania ruchu. W pierwszym tunel obejmuje wyłącznie określone podsieci, na przykład zakres używany przez zasoby wewnętrzne. W drugim cały ruch przechodzi przez VPN, a lokalne połączenie służy głównie do komunikacji z bramą tunelu. Błędne lub niepełne rozpoznanie tego modelu może spowodować, że strony internetowe działają, lecz nie można otworzyć zasobu dostępnego wyłącznie przez prywatną sieć, albo odwrotnie — tunel zostaje przeciążony ruchem, który powinien pozostać lokalny.

Znaczenie ma także kolejność uruchamiania połączeń. Podłączenie kabla po zestawieniu VPN może zmienić trasę domyślną, podobnie jak wznowienie pracy komputera, przełączenie z Wi-Fi na sieć przewodową lub aktywowanie dodatkowego adaptera. W systemach z kilkoma kartami mogą pojawić się równoległe bramy, trasy o takich samych zakresach oraz reguły pozostawione przez wcześniejsze programy sieciowe. Wtedy rezultat zależy od aktualnej kolejności interfejsów, a nie wyłącznie od ustawień widocznych w aplikacji VPN.

Istotne jest również rozróżnienie pomiędzy ruchem kierowanym do adresu IP a ruchem zależnym od rozwiązywania nazw. VPN może poprawnie przesyłać pakiety do określonego adresu, ale korzystać z niewłaściwego serwera DNS. W takiej sytuacji zasób będzie wyglądał na niedostępny po nazwie, mimo że komunikacja po adresie może być możliwa. Zdarza się też odwrotna sytuacja, gdy nazwa jest rozpoznawana prawidłowo, lecz wybrana trasa prowadzi poza tunel.

Typowe przyczyny, objawy i błędy konfiguracyjne - VPN działa tylko na niektórych interfejsach

Jednym z częstszych powodów jest pozostawienie aktywnej dodatkowej bramy lub ustawienie nieprawidłowej metryki. System może uznać, że zwykła karta sieciowa zapewnia lepszą drogę do danego celu niż interfejs VPN. W efekcie pakiety opuszczają komputer poza tunelem, są odrzucane przez zaporę po stronie zdalnej albo trafiają do sieci, która nie zna trasy zwrotnej. Objawem bywa dostęp do części adresów przy jednoczesnym braku komunikacji z innymi urządzeniami w tej samej lokalizacji.

Problem może wynikać również z reguł wyboru interfejsu w samym kliencie VPN. Niektóre programy pozwalają wskazać konkretną kartę, ograniczyć tunel do wybranych sieci albo wyłączyć przełączanie pomiędzy połączeniami. Jeżeli taka opcja została ustawiona niezgodnie z aktualnym układem sieci, VPN będzie działał tylko wtedy, gdy wskazany interfejs jest aktywny. Błąd może pojawić się po wymianie karty, aktualizacji sterownika, zmianie nazwy połączenia lub przywróceniu ustawień z kopii.

Do typowych przyczyn należą także:

• brak trasy do podsieci dostępnej po VPN;
• trasa o większym priorytecie kierująca ruch poza tunel;
• konflikt adresacji pomiędzy siecią lokalną a zdalną;
• nieprawidłowe serwery DNS przypisane do aktywnego interfejsu;
• blokowanie ruchu przez zaporę systemową lub filtr bezpieczeństwa;
• uszkodzony, nieaktualny albo niezgodny sterownik karty sieciowej;
• pozostałości po wcześniejszym kliencie VPN;
• brak trasy zwrotnej po stronie zdalnej;
• wykorzystanie kilku aktywnych połączeń o podobnym zakresie adresów;
• niewłaściwe ustawienia automatycznego przełączania pomiędzy Wi-Fi, Ethernetem i modemem.

Podczas sprawdzania nie powinno się ograniczać wyłącznie do ponownego uruchomienia aplikacji. Warto ustalić, przez który interfejs próbuje przejść konkretny adres, czy trasa pojawia się po zestawieniu tunelu oraz czy zmienia się po odłączeniu wybranego połączenia. Pomocne jest porównanie stanu sieci przed uruchomieniem VPN i po nim, sprawdzenie przypisanych adresów, bram oraz serwerów DNS, a także obserwacja, czy problem dotyczy wszystkich zasobów, czy tylko określonej podsieci.

Ostrożność jest potrzebna przy ręcznym usuwaniu tras i resetowaniu konfiguracji. Zbyt szeroka zmiana może odciąć dostęp do sieci lokalnej, uniemożliwić zdalne logowanie albo usunąć ustawienia potrzebne do innych połączeń. Każdą korektę powinno się wykonywać po zapisaniu bieżącej konfiguracji i po określeniu, czy problem leży po stronie komputera, klienta VPN, urządzenia pośredniczącego czy zdalnej infrastruktury.

W jakich sytuacjach warto zgłosić sprzęt do serwisu - VPN działa tylko na niektórych interfejsach

Zgłoszenie problemu do serwisu jest uzasadnione, gdy VPN działa tylko po wyłączeniu jednej z kart, przestaje działać po podłączeniu przewodu, nie odzyskuje komunikacji po wybudzeniu komputera albo pozwala otworzyć jedynie część zasobów. Warto skorzystać z pomocy także wtedy, gdy kilka urządzeń korzysta z podobnej konfiguracji, lecz tylko jedno z nich wybiera niewłaściwy interfejs. Takie porównanie często pozwala odróżnić błąd lokalnych ustawień od problemu po stronie zdalnej.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić analizę konfiguracji sieci, tablic routingu, interfejsów wirtualnych, sterowników oraz reguł zapory. W przypadku laptopa dostępna jest darmowa diagnoza LAPTOPA, co ułatwia rozpoczęcie sprawdzania bez założeń, że winny jest sam program VPN. Podczas diagnostyki można ustalić, czy pakiety są kierowane właściwą trasą, czy nazwy są rozwiązywane przez odpowiednie serwery oraz czy przełączanie między połączeniami nie zmienia wymaganych reguł.

Przy zgłoszeniu warto przekazać informację, na którym interfejsie VPN działa, na którym przestaje działać, czy problem pojawia się po restarcie oraz jakie zasoby pozostają niedostępne. Przydatne są również nazwa używanego klienta, sposób łączenia z internetem, komunikat błędu i przybliżony moment wystąpienia usterki. Takie dane pozwalają szybciej odtworzyć sytuację i ograniczyć ryzyko przypadkowego zmieniania ustawień, które nie mają związku z problemem.

Jeżeli okaże się, że przyczyna leży poza komputerem, można wyraźnie rozdzielić zakres dalszych działań: lokalną konfigurację, urządzenie dostępowe, zaporę brzegową, serwer VPN albo zasady obowiązujące w sieci zdalnej. Dzięki temu naprawa nie sprowadza się do przypadkowego przełączania interfejsów, lecz prowadzi do ustalenia, dlaczego wybrana trasa jest preferowana i jakie ustawienie zapewni stabilne korzystanie z tunelu.