Dva Windows VPN-a istovremeno: koji profil zadržava zadanu rutu?

Uključite drugi tunel i prvi utihne, dok oba klijenta još uvijek prijavljuju zdravu vezu. Windows ima samo jednu zadanu rutu koju može dati, a svaki profil koji je traži uzima je od onog drugog. Simptom izgleda kao prekid VPN-a, ali to je natjecanje u usmjeravanju između dva profila. Odlučite koji tunel treba posjedovati tu rutu i ostatak konfiguracije slijedi.

Samo jedan zapis može biti najbolja zadana ruta

IPv4 tablica usmjeravanja drži jednu pobjedničku rutu za odredišta koja nemaju konkretnije podudaranje. VPN profil koji instalira vlastitu zamjenjuje prethodnu čim se poveže, a promet koji je prije ulazio u prvi tunel sada izlazi kroz drugi. Prvi tunel ostaje aktivan; nestaje svaki paket koji bi ga koristio za opća odredišta.

Ikone stanja klijenta to ne mogu pokazati. One prijavljuju da je tunel uspostavljen, a ne koji prefiksi još vode prema njemu, pa korisnik vidi dvije zelene ikone i istek vremena u nekoj aplikaciji. Čitanje route print -4 tijekom kvara informativnije je od bilo kojeg VPN zapisa.

Razrješavanje naziva drugi je, neovisni sukob, i samo popravljanje tablice usmjeravanja neće ga riješiti.

Što kvačica instalira i što uklanja

Opcija se nalazi u svojstvima adaptera svakog VPN profila pod naprednim postavkama IPv4, formulirana kao korištenje zadanog pristupnika na udaljenoj mreži. Kada je uključena, svaka veza dodaje zadanu rutu kroz tunel i stavlja to sučelje u red za opći promet. Kada je isključena, Windows zadržava rutu za vlastitu podmrežu tunela i ostavlja ostatak tablice na miru.

Upravo na uklanjanju kvačice većina ljudi zapne. Udaljeno odredište obično ima više od jednog prefiksa i nijedan od tih prefiksa nije unutar podmreže adaptera, pa datotečni poslužitelji i adrese za upravljanje prestaju odgovarati. Kvačica nije pokvarila tunel; uklonila je široku rutu koja je sve pokrivala.

Mješovite konfiguracije legitimne su i česte: korporativni profil zadržava kvačicu kao puni tunel, dok je laboratorijski profil razdvojen kako ne bi mogao istisnuti korporativnu zadanu rutu.

Odaberite prema tome što svaki tunel mora nositi

Tri pitanja odlučuju raspored. Treba li ovaj tunel nositi običan internetski promet ili samo adrese unutar vlastitog lokaliteta? Služe li se dva lokaliteta nepovezanim privatnim rasponima? I ako profilom upravlja poslodavac, smijete li uopće mijenjati njegovo ponašanje usmjeravanja?

Ako jedan tunel mora biti pun, on posjeduje zadanu rutu, a drugi mora biti razdvojen. Ako nijednom ne treba opći internetski promet, uklonite kvačicu na obama i pustite fizički adapter da zadrži zadanu rutu. Ako se rasponi preklapaju, stanite: 172.22.0.0/16 ne može značiti jedan stroj na korporativnoj strani i drugi na laboratorijskoj, i nijedna kvačica to ne rješava.

Zapišite odluku uz nazive profila. Inače će treći VPN dodan sljedećeg tromjesečja ponoviti istragu od početka.

Dodajte prefikse koji nedostaju i provjerite rezultat

Za svaki razdvojeni tunel izričito dodajte udaljene raspone, koristeći adresu partnera prikazanu na tom adapteru umjesto javne adrese poslužitelja:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

PPP adapter koristi adresu partnera kao sljedeći skok, dok TAP adapter obično koristi pristupnik prikazan na tom sučelju, pa čitajte pojedinosti adaptera umjesto da kopirate broj iz vodiča. Trajnu zastavicu dodajte tek nakon što se ruta dokaže ispravnom, a stare trajne zapise izbrišite prije dodavanja zamjena. Upravljani klijenti mogu instalirati i štititi vlastite rute, u kojem slučaju promjenu mora napraviti vlasnik profila.

DNS zahtijeva zaseban prolaz. Oba tunela mogu gurati razrješivače, a Windows drži popis po sučelju s redoslijedom prednosti, pa ime koje pripada drugoj mreži može biti poslano razrješivaču prve mreže. Pogledajte što je svaki adapter stvarno primio prije nego što odaberete popravak:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Pravilo razrješavanja naziva po domeni obično je bolje od zamjene globalnog popisa razrješivača, jer taj popis dijeli svaka aplikacija na stroju i njegova tiha promjena premješta nepovezane pretrage.

Prihvatite postavku s četiri provjere: jedan resurs u svakoj udaljenoj mreži dostupan po adresi, pretraga naziva u svakoj, internetska zadana ruta još uvijek pokazuje na fizički adapter i sesija udaljene radne površine koja preživi podizanje druge veze.