No Internet Access–limited hálózati kapcsolat

Figyelem: Exchange és Lync mentes blog.

Ki az aki még nem találkozott a címben szereplo jelenséggel soha? Gyakori labor építoként már megvonom a vállam. Na és? Ha nincs Internet elérés, az nekem általában azt juttatja mindig eszembe, hogy újra dolgozom.

Csakhogy ez nem mindig elfogadható még labor környezetben sem. Ha Limited (értsd No Internet Access) állapotban van egy gép, akkor téves következtetésre juthat 1-2 szoftver és egyszeruen megáll. Ilyen például a Direct Access. A DA ha azt látja, hogy limited a kapcsolat, akkor hozzá sem fog a kapcsolódáshoz. Ennek az oka egyszeru: a DA muködéséhez élo Internet kapcsolat kell. De hogy szimuláljunk élo Internet kapcsolatot egy izolált laborban?

Eloször is értsük meg azt, hogy miként dönt a Windows arról, hogy van-e Internet kapcsolat vagy sem. Kezdjük ezzel. Az úgy volt, hogy Windows Vista óta van egy Network Location Awareness (NLA) szolgáltatása a Windows-nak. Ennek a legfontosabb célja az, hogy a Windows és a rajta futó alkalmazások értesülhessenek arról, ha a hálózati közeg megváltozik alattuk és ne kelljen ezért semmit se újraindítani. Például ha az otthoni WiFi hálózatról mobil internetre váltunk, akkor a Windows tuzfalnak illik másként viselkednie (feltételezve azt, hogy az otthoni tuzfal beállításunk megengedobb mint a mobil internetes kapcsolat esetében). Az NLA szolgáltatásnak van egy olyan Active Probe eleme, ami folyamatosan ellenorzi azt, hogy van-e Internet kapcsolata a Windows-nak. Ez az Active Probe a következoket ellenorzi:

• Egy HTTP GET kérést küld. Az URL: https://www.msftncsi.com/ncsi.txt
  • erre az elvárt válasz, vagyis a TXT tartalma: Microsoft NCSI
• Standard DNS query-t küld a DNS kiszolgálónak és megpróbálja feloldani a következo A rekordot: dns.msftncsi.com
  • erre az elvárt válasz: 131.107.255.255

Az NLA funkciót a Network Location Awareness Windows szolgáltatásban implementáltuk. Ez a szolgáltatás felelos a logika helyes futtatásáért. A szolgáltatás paraméterezheto. A paraméterek a rendszerleíró adatbázisban tárolja a Windows a “HKLM\System\CurrentControlSet\Services\NlaSVC\Parameters\ Internet” elérési út alatt. Ahol kedvünkre módosíthatjuk, amivel aztán a szolgáltatás muködését tudjuk befolyásolni. A legfontosabb paramétereket a lenti táblázatban foglaltam össze.

Az éppen aktuális környezetemben a következo módosításokat végeztem el:

A hatása a következo:

• A https://www.contoso.hu/ncsi.txt fájlt keresi a kliens
  • az elvárt tartalom: zzzz
• Standard DNS névfeloldást a dns.contoso.hu A rekordra végez a kliens
  • az elvárt válasz: 10.1.1.1
• Nincs IPv6 alapú ellenorzés, csak IPv4

Az eredmény majdnem tökéletes és a fenti információk kb. tucatjával fellelhetoek az Interneten. Csatlakoztam a táborhoz. Azonban a fenti beállítások eredményeként nálam nem muködött a trükk. Továbbra is No Internet Access volt az eredmény.

Hosszas debugolás után feladtam tegnap este a hibakeresést. A helyzet úgy nézett ki, hogy a kliens meg sem próbált becsatlakozni a web szerverhez és DNS névfeloldást sem kezdeményezett.

Ennek a jelenségnek pedig az oka viszonylag logikus. Ha a kliensnek nincs alapértelmezett átjárója és nincs WinHTTP providernek proxy kiszolgáló beállítva akkor arról a kliensrol technikailag nem lehetséges az Internet elérés. Így az NLA Internet Probe meg sem kísérli az ellenorzést! Egyszeruen úgy tekint arra a gépre, hogy elméletileg sem lehet Internet elérés, akkor pedig minek fárassza magát. Viszonylag ritka az amikor az egész Internet-el azonos alhálózaton vagyunk és nem kell alapértelmezett átjáró. Valamikor 40+ éve pár percig biztosan volt ilyen állapot de ma már ez nem reális.

Szóval ha a laborodban kell Internet és mindent jól beállítottál, de nem muködik jól a detektálás, akkor ne feledd: állíts be egy alapértelmezett átjárót a kliensnek!

Ugyan ebben semmi Exchange nincs, azért remélem, hogy valamennyire hasznos volt.