VPN у Windows забірае ўвесь трафік? Выдаліце яго маршрут па змаўчанні

Вы падключаецеся да офіснага VPN, і кожная старонка ў браўзеры пачынае ісці праз гэтую сетку: файлавы сервер хуткі, усё астатняе павольнае, адфільтраванае або знікла. Кліент не паводзіць сябе няправільна; профіль папрасіў поўны тунэль. Перамыкач, які гэта спыняе, — адзін сцяжок у дыялогу, якога сучасная праграма «Налады» не паказвае, і шлюз зноў мае сваё слова пры кожным падключэнні. Гэты агляд ідзе ў тым парадку, які рэальна прапануе інтэрфейс Windows, а потым разглядае праверкі, якія ўсё яшчэ не праходзяць пасля таго, як табліца маршрутаў выглядае правільна.

Пачніце з уласцівасцей адаптара, а не з «Налад»

Праграма «Налады» паказвае профіль у раздзеле «Сетка і Інтэрнэт», потым VPN, але яна прапануе толькі агульныя параметры. Рашэнне пра шлюз па змаўчанні жыве на адаптары. Адкрыйце класічны спіс адаптараў з дапамогай Win+R і ncpa.cpl, націсніце правай кнопкай на VPN-злучэнне, выберыце «Уласцівасці», выберыце «Інтэрнэт-пратакол версіі 4», зноў «Уласцівасці», затым «Дадаткова». Зніміце сцяжок Выкарыстоўваць шлюз па змаўчанні ў аддаленай сетцы і пацвердзіце выхад з усіх трох дыялогаў.

Перападключыцеся перад праверкай, бо сцяжок прымяняецца пры ўсталяванні тунэля, а існуючая сесія захоўвае табліцу, якую пабудавала. Калі адаптар адсутнічае, пакуль кліент адключаны, падключыцеся адзін раз і зноў адкрыйце акно. Кліент пастаўшчыка, які ўсталёўвае адаптар TAP або Wintun без старонкі ўласцівасцей IPv4, зусім не мае гэтага дыялогу; для іх тое ж рашэнне — гэта опцыя раздзеленага тунэля ў наладах самога кліента, і сцяжок адаптара — няправільнае месца для пошуку.

Тое ж змяненне з PowerShell

Для профілю, створанага ў сховішчы VPN Windows, параметр можна задаць скрыптам, што вам і трэба, калі машыну часта перабіраюць:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Гэты камандалет дасягае толькі профіляў у гэтым сховішчы. Злучэнне, дададзенае кліентам трэцяга боку, не з'явіцца, і каманда скончыцца памылкай імя, якая выглядае як друкарская памылка. Звярніце ўвагу і на тое, чаго перамыкач не робіць: ён не дазваляе кліенту ўсталяваць маршрут па змаўчанні, але не выдаляе маршруты, якія шлюз прасоўвае падчас падключэння, таму наступны раздзел у многіх сетках усё яшчэ патрэбны.

Калі шлюз зноў прасоўвае маршрут па змаўчанні

Спачатку прачытайце табліцу. Два запісы па змаўчанні з рознымі метрыкамі азначаюць, што змяненне профілю спрацавала, а прасунуты маршрут усё роўна яго замяніў:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Выдаліце маршрут па змаўчанні, які належыць тунэлю, і пакіньце фізічны. Выкарыстоўвайце індэкс інтэрфейса з трэцяй каманды, а не псеўданім адаптара, бо скрыпты, якія перадаюць псеўданім, ламаюцца, як толькі змяняецца адлюстраванае імя:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

Выдаленне забірае офіс з сабой, таму дадайце карпаратыўныя прэфіксы назад праз шлюз тунэля. Гэта той радок, які людзі прапускаюць, і менавіта таму «VPN перастаў працаваць» ідзе за паспяховым змяненнем раздзеленага тунэля:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Нішто з гэтага не перажывае перападключэнне, і гэта сумленныя паводзіны, а не памылка: адаптар перабудоўваецца, і кліент зноў прымяняе тое, пра што дамовіліся профіль і шлюз. Калі маршрут па змаўчанні з'яўляецца кожны раз, шлюз наладжаны адмаўляць раздзелены тунэль і будзе працягваць яго прасоўваць або скідваць сесію. Гэта палітыка аператара сеткі, і запыт належыць туды, а не ў лакальны скрыпт, які змагаецца з ёй адзін раз за падключэнне.

Пераправерце DNS, IPv6 і метрыкі пасля аднаго перападключэння

Выдаленне маршруту па змаўчанні IPv4 нічога не даказвае пра іншае сямейства або пра развязанне імёнаў. Тунэль можа несці IPv6, пакуль маршрут па змаўчанні IPv4 застаецца лакальным, і прасунуты спіс рэзалвераў можа трымаць унутраныя імёны працоўнымі, пакуль запыты, якія яго выкарыстоўваюць, ідуць іншым шляхам. Праверце ўсе тры, перш чым лічыць гэта завершаным:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

Калі стан вяртаецца пры кожным падключэнні, перанясіце каманды ў дзеянне, якое выконваецца пры падключэнні, замест ручнога рэдагавання табліцы: запланаваная задача, якая запускаецца на падзеі злучэння, або ўласны параметр раздзеленага тунэля кліента, дзе ён ёсць. Трымайце індэкс інтэрфейса ў зменнай і шукайце яго падчас выканання, бо ён можа змяніцца, калі адаптары дадаюцца або выдаляюцца.

Вырашыце, ад чаго вы адмовіліся

Лакальны інтэрнэт-трафік больш не правяраецца і не фільтруецца офісам, і ўсё, што публікуецца толькі праз тунэль, цяпер патрабуе свайго маршруту. Некаторыя арганізацыі лічаць раздзелены тунэль парушэннем палітыкі, таму пацвердзіце гэта перад змяненнем кіруемай прылады; прасунуты маршрут па змаўчанні часам з'яўляецца механізмам прымусу, а не выпадковасцю. Дакументацыя Set-VpnConnection пералічвае параметр раздзеленага тунэля і тыпы профіляў, да якіх ён прымяняецца.

Затым праверце ў фіксаваным парадку: каму належыць маршрут па змаўчанні, звычайны прагляд, адзін карпаратыўны хост па адрасе, адно ўнутранае імя і тыя ж чатыры пасля аднаго перападключэння. Калі прагляд працуе, а карпаратыўны хост не, то не хапае прэфікснага маршруту, а не выдаленага маршруту па змаўчанні, і выправіць гэта значна танней, чым перабіраць профіль.