Hoekom jou Windows-VPN die plaaslike drukker doodmaak en hoe om dit te stop

Koppel die VPN en die drukker verdwyn, die NAS-deel stop om oop te maak, en ’n Remote Desktop-sessie na die masjien langs jou hou op reageer. Niks het gebreek nie. Die kliënt het ’n verstekroete bygevoeg en besit nou elke bestemming wat die skootrekenaar kan noem, ook dié wat drie meter daarvandaan sit. Dit is die hele meganisme, en om dit ’n VPN-fout te noem, is wat ’n oplossing van een reël in ’n ondersteuningsgeval verander.

Lees eers die roetetabel

Voordat jy iets verander, neem die IPv4-tabel op met route print -4 en hou die uitset. Koppel, neem weer op en vergelyk die 0.0.0.0 reëls: die aktiewe verstekroete noem ’n koppelvlak, en as daardie koppelvlak die tonnel is, word plaaslike drukwerk en blaaiwerk eerste kantoor toe gestuur.

Die koppelvlaknommer in die tweede kolom is waarheen ’n blywende roete later moet verwys, so skryf dit neer terwyl die tonnel op is. Dit is ook die waarde wat verander wanneer die adapter herskep word, en daarom kan roetes wat daaraan vasgepen is, stilweg hul nut oorleef.

Verwyder die verstekroete, op drie maniere

Op ’n ingeboude Windows-profiel is die beheer ’n merkblokkie. Maak die verbinding se eienskappe oop, IPv4, dan Gevorderd, en vee Use default gateway on remote network uit; die nuwer Instellings-program versteek dieselfde dialoog een laag dieper. Vanaf ’n verhoogde opdragprompt is dieselfde verandering een cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

’n OpenVPN-profiel werk anders, en daarom verwar sy gedrag mense wat ’n merkblokkie verwag. Sy redirect-gateway def1-opdrag vervang glad nie die verstekroete nie; dit installeer twee halfbereik-roetes, 0.0.0.0/1 en 128.0.0.0/1, wat saam die verstek wen sonder om dit te skrap. Omdat die oorspronklike verstek oorleef, stuur die byvoeging van ’n voorvoegsel wat na net_gateway wys, net daardie voorvoegsel terug plaaslike router toe. Daardie besonderheid verduidelik waarom die oplossing vir ’n def1-profiel ’n voorvoegselroete is eerder as ’n merkblokkie wat niemand kan kry nie.

Voeg net terug wat by die werk hoort

Met die verstekroete weg dra die tonnel niks, so die werkvoorvoegsels moet eksplisiet genoem word. Die cmdlet wat ’n voorvoegsel aan die verbinding bind, is veiliger as ’n blywende roete, want dit word net geïnstalleer terwyl daardie verbinding op is en hang nie van ’n koppelvlaknommer af:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Die ouer benadering werk nog en staan nog in elke kontrolelys: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, met die tonnel se eie koppelvlakindeks en gateway-adres. Dit bly deur herlaaiings bestaan, wat die punt en ook die gevaar is, want die indeks kan by die volgende herlaai aan iets anders behoort.

Metrieke besluit die res. As beide die fisiese en tonnel-adapter ’n roete vir dieselfde voorvoegsel eis, wen die laer metrieke, en om die tonnel se metrieke te verhoog is ’n wettige kliëntkant-beheer eerder as ’n truuk.

Wanneer die bediener vir jou besluit

’n Kliënt wat jou merkblokkie ignoreer, gehoorsaam gewoonlik ’n beleid. Cisco-profiele dra ’n Allow Local LAN Access-instelling, en ’n headend kan ’n tunnel-all-beleid stoot wat oorheers wat die kliënt ook al verkies; in ’n verpligte-tonnel-ontplooiing is daar geen plaaslike skakelaar om te verander nie. Lees die kliëntlog vir roetes en beleidslyne wat gestuur is, eerder as om dieselfde dialoog weer te kontroleer.

Kyk dan na naamoplossing, wat ’n aparte skakelaar van roetering is. ’n Gesplete tonnel kan steeds ’n interne resolver en ’n soek-agtervoegsel ontvang, so ’n plaaslike toestel is per adres bereikbaar en per naam onvindbaar totdat die DNS-kant ook reggemaak is.

Oorvleueling is ’n ander probleem

As die tuis-LAN en die kantoor-LAN ’n voorvoegsel soos 192.168.0.0/24 deel, kan geen roete hulle onderskei nie. Elke pakkie vir daardie reeks het een opsoekresultaat, en die oplossing is om een kant te hernommer of om die kantoor via ’n vertaalde adres uit die poel te bereik. Om meer spesifieke roetes by te voeg, verskuif net watter helfte van die netwerk breek.

Eindig met een verifikasie eerder as vyf: koppel, en hardloop dan tracert teen ’n interne gasheer en een publieke. Die eerste hop moet verskil, en as dit nie gebeur nie, is die splitsing nie in plek nie, ongeag wat die kliënt rapporteer. Herkoppel dan een keer en herhaal, want gestuurde roetes keer met elke sessie terug.