VPN nie działa przy wielu kartach sieciowych

VPN niedziałający przy wielu kartach sieciowych wskazuje na niejednoznaczność trasy domyślnej — system może kierować ruch VPN przez niewłaściwy interfejs, jeśli metryki tras nie są jednoznacznie ustawione.

VPN nie działa przy wielu kartach sieciowych — na czym polega problem

Problem określany jako „VPN nie działa przy wielu kartach sieciowych” pojawia się wtedy, gdy komputer ma jednocześnie kilka aktywnych interfejsów komunikacyjnych, a połączenie przez tunel VPN nie może prawidłowo wybrać drogi do sieci firmowej, domowej lub innego chronionego zasobu. Kartą sieciową może być zarówno fizyczny port Ethernet albo moduł Wi-Fi, jak i interfejs utworzony programowo przez klienta VPN, maszynę wirtualną, funkcję udostępniania internetu czy dodatkowe oprogramowanie sieciowe.

Samo zestawienie tunelu nie zawsze oznacza, że ruch będzie nim przesyłany. Po uwierzytelnieniu użytkownika i uzyskaniu parametrów VPN system musi jeszcze ustalić, przez który interfejs przekazać pakiety kierowane do określonego adresu. Jeżeli kilka kart otrzymuje podobne trasy, a priorytety nie są jednoznaczne, część komunikacji może zostać wysłana przez zwykłe Wi-Fi, przewodowe połączenie lokalne albo inny wirtualny adapter. W efekcie zasób pozostaje niedostępny, połączenie zrywa się po kilku sekundach lub działa tylko w wybranych aplikacjach.

W praktyce można spotkać dwa odmienne warianty konfiguracji. Przy tunelowaniu pełnym cały ruch internetowy i ruch do sieci wewnętrznych powinien przechodzić przez VPN. Przy tunelowaniu dzielonym tylko wskazane podsieci są kierowane do tunelu, natomiast pozostałe połączenia korzystają z lokalnego dostępu do internetu. Błąd przy wielu kartach może dotyczyć obu modeli, ponieważ w każdym z nich system musi rozstrzygnąć, która trasa ma pierwszeństwo.

Jak wiele interfejsów wpływa na routing VPN

Podstawą działania jest tablica routingu, w której zapisywane są sieci docelowe, przypisane im interfejsy oraz priorytety. Gdy komputer ma aktywne połączenie przewodowe i bezprzewodowe, system może dysponować więcej niż jedną trasą domyślną. Dodatkowo klient VPN zwykle dodaje własne wpisy, a niektóre programy tworzą wirtualne interfejsy z osobnym adresem i własnymi regułami przekazywania pakietów.

Znaczenie ma metryka trasy. Zwykle preferowana jest ścieżka o niższym koszcie, ale sposób wyliczania priorytetu może zależeć od systemu, sterownika i rodzaju interfejsu. W przypadku równorzędnych lub szybko zmieniających się wpisów wybór trasy może stać się nieprzewidywalny. Po wznowieniu pracy komputera, zmianie sieci Wi-Fi, podłączeniu przewodu albo ponownym uruchomieniu klienta VPN kolejność interfejsów może wyglądać inaczej niż wcześniej.

Istotna jest również różnica między trasą do konkretnej podsieci a trasą domyślną. Bardziej szczegółowy wpis dla określonego zakresu adresów może mieć pierwszeństwo przed ogólną trasą domyślną, nawet jeśli ogólna konfiguracja sugeruje korzystanie z VPN. Dlatego dostęp do jednego systemu może działać, podczas gdy inny zasób znajdujący się w tej samej organizacji nie odpowiada. W diagnostyce należy sprawdzić nie tylko obecność tunelu, lecz także rzeczywistą trasę dla adresu, z którym występuje problem.

Na działanie mogą wpływać także reguły zapory, filtrów sieciowych i ochrony punktu końcowego. Zdarza się, że połączenie VPN zostaje nawiązane, ale pakiety powrotne trafiają do innego interfejsu niż ten, przez który rozpoczęto komunikację. Taki asymetryczny przepływ może skutkować odrzucaniem pakietów, brakiem odpowiedzi lub pozornym zawieszaniem się aplikacji.

Typowe przyczyny i objawy błędnego wyboru interfejsu

Jednym z częstszych powodów jest jednoczesne używanie połączenia Ethernet i Wi-Fi. Jeżeli oba interfejsy pozostają aktywne, system może wybrać inną drogę dla ruchu lokalnego, a inną dla ruchu przeznaczonego do tunelu. Podobny efekt może wystąpić po podłączeniu telefonu jako modemu, uruchomieniu dodatkowego adaptera USB albo pozostawieniu aktywnego wirtualnego interfejsu utworzonego przez inne oprogramowanie.

Do typowych przyczyn należą również:

• brak trasy do prywatnej podsieci po zestawieniu VPN;
• nieprawidłowa metryka jednego z interfejsów;
• pozostawiona trasa domyślna na nieużywanej karcie;
• konflikt adresacji, gdy sieć lokalna i sieć dostępna przez VPN wykorzystują podobny zakres;
• niezgodność ustawień tunelowania pełnego i dzielonego;
• uszkodzony lub nieaktualny sterownik karty sieciowej;
• reguły zapory przypisane do niewłaściwego profilu sieciowego;
• problem z DNS, gdy nazwa zasobu jest rozwiązywana przez lokalny serwer zamiast przez serwer dostępny w tunelu;
• pozostałości po wcześniejszym kliencie VPN lub innym narzędziu tworzącym wirtualne adaptery.

Objawem może być brak dostępu do firmowego dysku, pulpitu zdalnego, panelu administracyjnego albo wewnętrznej aplikacji, mimo że status VPN wskazuje poprawne połączenie. Czasem działa tylko adres IP, a nazwa hosta nie jest rozpoznawana. W innym przypadku strony internetowe otwierają się prawidłowo, lecz zasoby za tunelem nie odpowiadają. Możliwe są też krótkie przerwy w dostępie po przełączeniu z Wi-Fi na Ethernet, po wybudzeniu urządzenia lub po zmianie punktu dostępowego.

Bezpieczna diagnostyka powinna obejmować porównanie tablicy routingu przed połączeniem z VPN i po jego zestawieniu, sprawdzenie przypisania adresów do interfejsów, test rozwiązywania nazw oraz weryfikację, którędy kierowany jest ruch do konkretnego zasobu. W razie potrzeby można tymczasowo wyłączyć nieużywane karty, ale trwałe zmiany powinny być wprowadzane dopiero po ustaleniu, które połączenia są wymagane. Należy także zachować ostrożność przy usuwaniu tras, ponieważ błędna modyfikacja może odciąć dostęp do internetu lub sieci lokalnej.

W jakich sytuacjach warto umówić wizytę serwisową - VPN nie działa przy wielu kartach sieciowych

Zgłoszenie do serwisu jest uzasadnione, gdy VPN nadal nie działa po ustaleniu jednego aktywnego połączenia, a problem powtarza się po restarcie, zmianie sieci lub ponownej instalacji klienta. Szczególnej uwagi wymaga sytuacja, w której kłopot występuje tylko na jednym komputerze, podczas gdy te same dane dostępowe działają na innym urządzeniu. Może to wskazywać na lokalny konflikt tras, sterowników, zapory albo wirtualnych adapterów.

W ramach sprawdzenia można przeanalizować konfigurację interfejsów, kolejność tras, ustawienia DNS, profile zapory oraz zachowanie połączenia przy aktywnych i wyłączonych kartach. Przydatne jest również odtworzenie problemu w kilku scenariuszach: tylko Wi-Fi, tylko Ethernet, oba połączenia jednocześnie oraz po wznowieniu pracy systemu. Takie porównanie pozwala odróżnić błąd konfiguracji komputera od problemu po stronie serwera VPN lub sieci, do której ma prowadzić tunel.

W Warszawie pomoc w podobnych przypadkach świadczy Warszawskie Pogotowie Komputerowe 24/7, gdzie można zlecić analizę konfiguracji połączeń sieciowych i klienta VPN. Dla laptopa przewidziana jest darmowa diagnoza LAPTOPA, co ułatwia rozpoczęcie sprawdzania bez zgadywania, czy przyczyną jest trasa, adapter, sterownik, DNS czy reguła bezpieczeństwa.

Przed przekazaniem urządzenia warto przygotować nazwę używanego klienta VPN, opis sieci, w której pojawia się błąd, oraz informację, czy dostęp przez tunel działa przy wyłączonej dodatkowej karcie. Nie należy udostępniać osobom postronnym haseł, kluczy prywatnych ani kodów jednorazowych. Do diagnostyki zwykle wystarczą informacje o objawach, bezpiecznie zanonimizowane komunikaty oraz dostęp do ustawień urządzenia po uzgodnieniu zakresu prac.