Чаму VPN пад Windows забівае лакальны прынтар і як гэта спыніць

Падключыце VPN і прынтар знікае, агульны рэсурс NAS перастае адкрывацца, а сеанс аддаленага працоўнага стала да машыны побач сканчаецца па тайм-аўце. Нічога не зламалася. Кліент дадаў маршрут па змаўчанні і цяпер валодае кожным пунктам прызначэння, які ноўтбук можа назваць, уключаючы тыя, што за тры метры. Вось і ўвесь механізм, а называнне гэтага паломкай VPN — гэта тое, што ператварае выпраўленне ў адзін радок у зварот у падтрымку.

Спачатку прачытайце табліцу маршрутаў

Перш чым нешта змяняць, зніміце табліцу IPv4 з дапамогай route print -4 і захавайце вывад. Падключыцеся, зніміце яшчэ раз і параўнайце радкі 0.0.0.0: актыўны маршрут па змаўчанні называе інтэрфейс, і калі гэты інтэрфейс — тунэль, лакальны друк і агляд адпраўляюцца спачатку ў офіс.

Нумар інтэрфейса ў другім слупку — гэта тое, на што пастаянны маршрут павінен спасылацца пазней, таму запішыце яго, пакуль тунэль уключаны. Гэта таксама значэнне, якое змяняецца пры перастварэнні адаптара, таму маршруты, прывязаныя да яго, могуць ціха перажыць сваю карысць.

Прыбярыце маршрут па змаўчанні трыма спосабамі

Ва ўбудаваным профілі Windows сродак кіравання — гэта сцяжок. Адкрыйце ўласцівасці злучэння, IPv4, затым Дадаткова і зніміце Use default gateway on remote network; больш новы app Налады хавае гэты ж дыялог на ўзровень глыбей. З падвышанага радка загадаў тое ж змяненне — адзін cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

Профіль OpenVPN працуе інакш, таму яго паводзіны блытае тых, хто чакае сцяжок. Яго дырэктыва redirect-gateway def1 зусім не замяняе маршрут па змаўчанні; яна ставіць два маршруты паўдыяпазону, 0.0.0.0/1 і 128.0.0.0/1, якія разам перамагаюць маршрут па змаўчанні, не выдаляючы яго. Паколькі зыходны маршрут па змаўчанні застаецца, даданне прэфікса, накіраванага на net_gateway, вяртае ў лакальны роўтар толькі гэты прэфікс. Гэтая дэталь тлумачыць, чаму выпраўленне для профілю def1 — гэта маршрут для прэфікса, а не сцяжок, які ніхто не можа знайсці.

Вярніце толькі тое, што належыць працы

Калі маршрут па змаўчанні прыбраны, тунэль нічога не нясе, таму працоўныя прэфіксы трэба назваць яўна. Cmdlet, які прывязвае прэфікс да злучэння, бяспечнейшы за пастаянны маршрут, бо ён усталёўваецца толькі пакуль злучэнне ўключана і не залежыць ад нумара інтэрфейса:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Старэйшы падыход усё яшчэ працуе і ўсё яшчэ ў кожным спісе праверкі: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, з уласным індэксам інтэрфейса і адрасам шлюза тунэлю. Ён застаецца пасля перазагрузак, што і ёсць сэнс, і ёсць небяспека, бо індэкс пры наступнай загрузцы можа належыць чамусьці іншаму.

Астатняе вырашаюць метрыкі. Калі і фізічны, і тунэльны адаптар прэтэндуюць на маршрут для таго ж прэфікса, перамагае ніжэйшая метрыка, а павышэнне метрыкі тунэлю — гэта законнае кіраванне з боку кліента, а не хак.

Калі сервер вырашае за вас

Кліент, які ігнаруе ваш сцяжок, звычайна падпарадкоўваецца палітыцы. Профілі Cisco нясуць наладу Allow Local LAN Access, і headend можа прасунуць палітыку tunnel-all, якая адмяняе ўсё, што кліент хацеў бы; пры абавязковым тунэлі лакальнага перамыкача няма. Чытайце лог кліента пра прасунутыя маршруты і радкі палітык, замест таго каб зноў правяраць той жа дыялог.

Затым паглядзіце на развязанне імёнаў, гэта асобны перамыкач ад маршрутызацыі. Раздзелены тунэль можа ўсё яшчэ атрымаць унутраны resolver і суфікс пошуку, таму лакальная прылада дасягальная па адрасе і незнаходная па імені, пакуль бок DNS таксама не выпраўлены.

Перакрыццё — іншая праблема

Калі хатняя LAN і офісная LAN дзеляць прэфікс накшталт 192.168.0.0/24, ніводзін маршрут не можа іх адрозніць. Кожны пакет для гэтага дыяпазону мае адзін вынік пошуку, і выпраўленне — перанумараваць адзін бок або дасягаць офіса праз перакладзены адрас з пула. Даданне больш канкрэтных маршрутаў толькі перамяшчае, якая палова сеткі ламаецца.

Скончыце адной праверкай замест пяці: падключыцеся, затым запусціце tracert да ўнутранага хоста і да публічнага. Першы хоп павінен адрознівацца, і калі ён не адрозніваецца, раздзяленне не ўсталявана, незалежна ад таго, што паведамляе кліент. Затым аднойчы перападключыцеся і паўтарыце, бо прасунутыя маршруты вяртаюцца з кожным сеансам.