Windows-VPN wat al jou verkeer oorneem? Verwyder sy verstekroete

Jy maak aan die kantoor se VPN vas en elke bladsy in die blaaier begin deur daardie netwerk gaan: die lêerbediener is vinnig, alles anders is stadig, gefiltreer of weg. Die kliënt doen niks verkeerd nie; die profiel het 'n volle tonnel gevra. Die skakelaar wat dit stop, is een merkblokkie in 'n dialoog wat die moderne Instellings-app nie wys nie, en die poort kry by elke verbinding weer 'n sê. Hierdie deurloop volg die orde wat die Windows-koppelvlak werklik aanbied, en dek daarna die kontroles wat steeds misluk nadat die roetetabel korrek lyk.

Begin in die adapter-eienskappe, nie in Instellings nie

Die Instellings-app lys die profiel onder Netwerk en internet, dan VPN, maar dit bied net algemene opsies. Die besluit oor die verstekpoort woon op die adapter. Maak die klassieke adapterlys oop met Win+R en ncpa.cpl, regskliek die VPN-verbinding, kies Eienskappe, kies Internetprotokol Weergawe 4, kies weer Eienskappe en dan Gevorderd. Verwyder die merk by Gebruik verstekpoort op die afgeleë netwerk en bevestig jou pad uit al drie dialoë.

Maak weer aan voor jy toets, want die merkblokkie word toegepas wanneer die tonnel opgerig word en 'n bestaande sessie hou die tabel wat dit gebou het. As die adapter ontbreek terwyl die kliënt ontkoppel is, maak een keer aan en heropen die venster. 'n Verskafferkliënt wat 'n TAP- of Wintun-adapter installeer sonder 'n IPv4-eienskappeblad het glad nie hierdie dialoog nie; vir dié is dieselfde besluit 'n split-tonnel-opsie binne die kliënt se eie instellings, en die adapter se merkblokkie is die verkeerde plek om te soek.

Dieselfde verandering vanaf PowerShell

Vir 'n profiel wat in die Windows VPN-stoor geskep is, is die instelling skripteerbaar, wat is wat jy wil hê as die masjien dikwels herbou word:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Daardie cmdlet bereik net profiele in daardie stoor. 'n Verbinding wat deur 'n derdeparty-kliënt bygevoeg is, sal nie verskyn nie, en die opdrag faal met 'n naamfout wat soos 'n tikfout lees. Let ook op wat die skakelaar nie doen nie: dit keer dat die kliënt 'n verstekroete installeer, maar dit verwyder nie roetes wat die poort by verbindingstyd stuur nie, so die volgende afdeling is steeds op baie netwerke nodig.

Wanneer die poort die verstek terugstuur

Lees eers die tabel. Twee verstekinskrywings met verskillende maatstafwaardes beteken die profielverandering het gewerk en die gestuurde roete het dit nietemin vervang:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Skrap die verstek wat aan die tonnel behoort en hou die fisiese een. Gebruik die koppelvlakindeks uit die derde opdrag, nie die adapteralias nie, want skripte wat 'n alias deurgee, breek sodra die vertoonnaam verander:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

Die skrapping neem die kantoor saam, so voeg die korporatiewe prefikse deur die tonnelpoort terug. Dit is die reël wat mense oorslaan, en dit is die rede waarom “die VPN het opgehou werk” op 'n suksesvolle split-tonnel-verandering volg:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Niks hiervan oorleef 'n nuwe verbinding nie, wat eerlike gedrag is eerder as 'n fout: die adapter word herbou en die kliënt pas weer toe wat die profiel en die poort ooreengekom het. As die verstek elke keer terugkom, is die poort opgestel om split-tonnel te weier en sal dit aanhou stuur, of die sessie laat val. Dit is die netwerkoperateur se beleid, en die versoek hoort daar eerder as in 'n plaaslike skrip wat dit een keer per verbinding beveg.

Gaan DNS, IPv6 en die maatstafwaardes na een heropverbinding weer na

Om 'n IPv4-verstekroete te verwyder bewys niks oor die ander familie of oor naamresolusie nie. 'n Tonnel kan IPv6 dra terwyl die IPv4-verstek plaaslik bly, en 'n gestuurde oplosserlys kan interne name laat werk terwyl die navrae wat dit gebruik 'n ander pad volg. Gaan al drie na voordat jy dit klaar noem:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

As die toestand by elke verbinding terugkeer, skuif die opdragte na 'n per-verbinding-aksie eerder as om die tabel met die hand te redigeer: 'n geskeduleerde taak wat op die verbindinggebeurtenis begin, of die kliënt se eie split-tonnel-instelling waar dit een het. Hou die koppelvlakindeks in 'n veranderlike en soek dit tydens looptyd op, want dit kan verander wanneer adapters bygevoeg of verwyder word.

Besluit wat jy prysgegee het

Plaaslike internetverkeer word nie meer deur die kantoor geïnspekteer of gefiltreer nie, en enigiets wat net deur die tonnel gepubliseer word, het nou sy eie roete nodig. Sommige organisasies beskou split-tonnel as 'n beleidsoortreding, so bevestig dit voordat jy 'n bestuurde toestel verander; 'n gestuurde verstek is soms die handhawingsmeganisme eerder as 'n ongeluk. Die Set-VpnConnection-dokumentasie lys die split-tonnel-parameter en die profieltipes waarop dit van toepassing is.

Verifieer dan in 'n vaste orde: wie besit die verstekroete, gewone blaai, een korporatiewe gasheer per adres, een interne naam, en dieselfde vier na 'n enkele heropverbinding. As blaai werk en die korporatiewe gasheer faal, ontbreek die prefiksroete eerder as die verstek wat jy verwyder het, en dit is baie goedkoper om reg te maak as om die profiel te herbou.