Дзве VPN у Windows адначасова: які профіль захоўвае маршрут па змаўчанні?

Падключыце другі тунель, і першы змаўкае, хаця абодва кліенты ўсё яшчэ паведамляюць пра здаровае злучэнне. У Windows ёсць толькі адзін маршрут па змаўчанні, які можна аддаць, і кожны профіль, які прэтэндуе на яго, забірае яго ў іншага. Сімптом выглядае як збой VPN, але гэта спаборніцтва маршрутаў паміж двума профілямі. Вырашыце, які тунель павінен валодаць гэтым маршрутам, і рэшта канфігурацыі пацягнецца за ім.

Толькі адзін запіс можа быць найлепшым маршрутам па змаўчанні

Табліца маршрутызацыі IPv4 утрымлівае адзіны пераможны маршрут для пунктаў прызначэння, для якіх няма больш дакладнага супадзення. Профіль VPN, які ўсталёўвае ўласны маршрут, замяняе папярэдні, як толькі падключаецца, і трафік, які раней ішоў у першы тунель, цяпер выходзіць праз другі. Першы тунель застаецца ўзнятым; знікае любы пакет, які выкарыстаў бы яго для агульных пунктаў прызначэння.

Значкі стану кліента не могуць гэтага паказаць. Яны паведамляюць, што тунель усталяваны, а не якія прэфіксы ўсё яшчэ вядуць да яго, таму карыстальнік бачыць два зялёныя значкі і тайм-аўт у праграме. Чытанне route print -4 падчас збою інфарматыўнейшае за любы журнал VPN.

Развязанне імёнаў — другі, незалежны канфлікт, і выпраўленне адной толькі табліцы маршрутаў яго не развяжа.

Што ўстанаўлівае сцяжок і што ён прыбірае

Опцыя знаходзіцца ва ўласцівасцях адаптара кожнага профілю VPN, у дадатковых параметрах IPv4, і сфармулявана як выкарыстанне шлюзу па змаўчанні ў аддаленай сетцы. Калі яна ўключана, кожнае злучэнне дадае маршрут па змаўчанні праз тунель і ставіць гэты інтэрфейс у чаргу на агульны трафік. Калі выключана, Windows пакідае маршрут для ўласнай падсеткі тунеля і не чапае рэшту табліцы.

Менавіта на зняцці сцяжка большасць людзей застрэвае. Аддалены сайт звычайна мае больш за адзін прэфікс, і ніводзін з гэтых прэфіксаў не знаходзіцца ў падсетцы адаптара, таму файлавыя серверы і адрасы кіравання перастаюць адказваць. Сцяжок не паламаў тунель; ён прыбраў шырокі маршрут, які пакрываў усё.

Змяшаныя канфігурацыі легітымныя і звычайныя: карпаратыўны профіль пакідае сцяжок як поўны тунель, а лабараторны профіль зроблены раздзеленым, каб ён не мог выцесніць карпаратыўны маршрут па змаўчанні.

Выбірайце па тым, што кожны тунель павінен несці

Тры пытанні вызначаюць расклад. Ці павінен гэты тунель несці звычайны інтэрнэт-трафік, ці толькі адрасы ўнутры ўласнага сайта? Ці выкарыстоўваюць два сайты дыз’юнктныя прыватныя дыяпазоны? І калі профіль кіруецца працадаўцам, ці дазволена вам наогул змяняць яго паводзіны маршрутызацыі?

Калі адзін тунель павінен быць поўным, ён валодае маршрутам па змаўчанні, а другі павінен быць раздзеленым. Калі ніводнаму не патрэбны агульны інтэрнэт-трафік, зніміце сцяжок на абодвух і дайце фізічнаму адаптару захаваць маршрут па змаўчанні. Калі дыяпазоны перакрываюцца, спыніцеся: 172.22.0.0/16 не можа азначаць адну машыну на карпаратыўным баку і іншую на лабараторным, і ніякі сцяжок гэтага не развяжа.

Запішыце рашэнне побач з назвамі профіляў. Інакш трэці VPN, дададзены ў наступным квартале, паўторыць расследаванне з самага пачатку.

Дадайце адсутныя прэфіксы і праверце вынік

Для кожнага раздзеленага тунеля дадайце аддаленыя дыяпазоны яўна, выкарыстоўваючы адрас партнёра, паказаны на гэтым адаптары, замест публічнага адраса сервера:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

Адаптар PPP выкарыстоўвае адрас партнёра як наступны пераход, а адаптар TAP звычайна выкарыстоўвае шлюз, паказаны на гэтым інтэрфейсе, таму чытайце звесткі адаптара, а не капіюйце лік з кіраўніцтва. Дадавайце пастаянны сцяжок толькі пасля таго, як маршрут даказаў правільнасць, і выдаляйце старыя пастаянныя запісы перад даданнем замен. Кіраваныя кліенты могуць усталёўваць і абараняць уласныя маршруты, і тады змену павінен зрабіць уладальнік профілю.

DNS патрабуе асобнага праходу. Абодва тунелі могуць прасоўваць рэзалверы, а Windows трымае спіс для кожнага інтэрфейса з парадкам перавагі, таму імя, якое належыць другой сетцы, можа быць адпраўлена рэзалверу першай сеткі. Паглядзіце, што кожны адаптар фактычна атрымаў, перш чым выбіраць выпраўленне:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Палітыка развязання імёнаў для кожнага дамена звычайна лепшая за замену глабальнага спісу рэзалвераў, бо гэты спіс агульны для кожнай праграмы на машыне, і ціхае яго змяненне незаўважна пераносіць непаўязаныя запыты.

Прыміце наладку чатырма праверкамі: адзін рэсурс у кожнай аддаленай сетцы, дасягнуты па адрасе, пошук імя ў кожнай, інтэрнэт-маршрут па змаўчанні ўсё яшчэ паказвае на фізічны адаптар, і сеанс аддаленага працоўнага стала, які перажывае ўзняцце другога злучэння.