Принтерът офлайн при свързване с VPN? Проверете маршрутната таблица

Лаптопът ви се свързва с корпоративния VPN и принтерът на два метра спира да отговаря. По принтера нищо не се е променило и локалната мрежа не е паднала. Променила се е маршрутната таблица: тунелният адаптер вече притежава път, който покрива адреса на принтера, затова тези пакети излизат през VPN и стигат до шлюз, който няма представа къде се намира вашата плоска мрежа. Изпълнете четирите проверки по-долу по ред и спрете на първата, която се провали.

Първа стъпка: докажете, че принтерът е все още достъпен в LAN

Преди да пипате маршрутизацията, потвърдете, че устройството е живо за нещо, което не използва VPN. Помолете телефон в същия Wi-Fi да отвори уеб страницата на принтера или пуснете ping към адреса от друга машина в плоската мрежа. Ако принтерът не отговаря и там, VPN е случайност и вината е в принтера, в Wi-Fi асоциацията му или в изолацията на клиенти на точката за достъп.

Ако отговаря навсякъде освен на този лаптоп, имате проблем с маршрутизацията или с разрешаването на имена, който живее на лаптопа, и следващата стъпка ще ви каже кой от двата е.

Втора стъпка: намерете маршрута, който Windows наистина избира

Не четете таблицата отгоре надолу и не гадайте. Питайте Windows кой запис избира за точния адрес, който ви интересува, и вземете индекса на интерфейса едновременно.

Find-NetRoute -RemoteIPAddress 192.168.1.50
route print -4
tracert -d 192.168.1.50

Find-NetRoute отпечатва печелившия маршрут и неговия интерфейс, а това са двата факта, от които зависи останалото. route print -4 показва околните записи, включително двата половин дефолта, които клиентите с пълен тунел инсталират: 0.0.0.0/1 и 128.0.0.0/1, които заедно покриват цялото IPv4 пространство, без никога да заменят 0.0.0.0/0. /1 е по-дълъг от /0, но вашият 192.168.1.0/24 е още по-дълъг, затова липсващият LAN маршрут е по-важен от самото претендиране на тунела.

Две правила решават отговора. Най-дългият съвпадащ префикс печели първи, а сред записите с еднакъв префикс печели по-ниската обща метрика, където общата съчетава метриката на маршрута и метриката на интерфейса. Ако избраният интерфейс е тунелът, продължете. Ако е физическият адаптер, а трафикът все още се проваля, спрете тук: проблемът ви е в разрешаването на имена или в собствения списък за достъп на принтера, а не в маршрута през VPN.

Трета стъпка: добавете най-тесния маршрут, който назовава шлюз и интерфейс

Поправката е един запис, който насочва адреса на принтера към локалния рутер на локалния адаптер. Изпълнете го в повишен команден ред и заменете стойностите, които току-що прочетохте.

route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 if 12 -p

Стойността на if е индексът на интерфейса на физическия адаптер. Пропускането ѝ е най-честата причина командата да изглежда успешна и да не променя нищо, защото при два адаптера, способни да стигнат до същия следващ хоп, Windows е свободен да избере този, който не искате. Флагът -p прави записа постоянен, така че той преживява рестарт, вместо да загине със сесията.

Предпочитайте маршрут до хоста за отделното устройство пред маршрут за цялата 192.168.1.0/24. Маршрутът до подмрежа е по-широк, отколкото задачата изисква, и се сблъсква в момента, в който корпоративната страна също използва този префикс: един префикс тогава има двама собственици и кой запис надделее решава до коя мрежа всъщност можете да стигнете.

В обратната посока, ако сте изчистили опцията за шлюз по подразбиране на VPN връзката, за да защитите LAN, отдалечените частни префикси също спират да се разрешават. Добавете маршрути за тях през VPN интерфейса по същия начин, или тунелът се превръща в връзка, която не носи нищо.

Четвърта стъпка: направете изключението живо до следващото свързване

Много корпоративни клиенти преинсталират целия си набор от маршрути при всяко свързване и преизчисляват метриките на интерфейсите при това, така че маршрут, който е работил вчера, днес може да бъде изместен. След повторно свързване повторете Find-NetRoute за принтера и проверете, че интерфейсът все още съвпада с физическия адаптер. Ако записът е изчезнал, нещо го изтрива; постоянният маршрут не ви защитава от агент, който мете таблицата. Планираните задачи, които добавят маршрута отново след свързване с VPN, са обичайното заобикаляне и те са също заобикалянето, което се чупи, когато индексът на адаптера се промени след докинг станция или актуализация на драйвер.

Следете IPv6 отделно. Клиент, който претендира само IPv4 по подразбиране, може да остави маршрута по подразбиране за IPv6 на физическия адаптер, така че принтер, достъпен през IPv6, продължава да работи, докато IPv4 се проваля, или обратното. Тествайте с ping -4 и ping -6, преди да решите, че маршрутната таблица е невинна.

Какво ви струва локалният пряк път

Всеки маршрут, който заобикаля тунела, е дупка в обещанието на тунела. Трафикът към този адрес вече не минава през корпоративния шлюз, което означава без инспекция, без журналиране и без прилагане на политики върху него. На управлявано устройство това може да е проблем със съответствието, а не предпочитание, затова попитайте дали съществува официално изключение за разделен тунел, преди да добавите своето ръчно. Пазете своето толкова тясно, колкото изисква задачата, и толкова краткотрайно, колкото ситуацията позволява.

Ако принтерът отговори след промяната, повторете четирите проверки след следващото си повторно свързване, вместо да предполагате, че поправката е удържала. Ако не отговори, запишете изхода на Find-NetRoute преди и след свързването; разликата ще ви каже дали клиентът е изтрил записа, или само го е преподредил.