Com eliminar una ruta obsoleta que ha deixat una VPN de Windows

La sessió va acabar fa hores, l’adaptador ja no hi és i la ruta continua a la taula apuntant a la interfície 42. Esborrar aquella fila costa una ordre; decidir que és la fila correcta costa quatre comprovacions. Una taula de rutes és compartida, així que una supressió àmplia elimina camins que altres connexions encara fan servir, inclòs el que porta el túnel. Cada pas de sota estreny l’objectiu fins que només una entrada pot coincidir.

1. Decidiu si l’entrada és obsoleta o intencionada

Una entrada que ha sobreviscut a un reinici es va escriure en algun lloc, i aquest lloc sol ser una decisió i no un accident. El túnel dividit depèn de rutes que semblen exactament restes, i una política que empeny un prefix pel túnel és indistingible d’una entrada obsoleta en un sol llistat. Pregunteu quan va aparèixer la ruta: una que només existeix mentre el túnel és actiu pertany a la configuració del client, així que una ordre de neteja és l’eina equivocada. Elimineu una ruta deliberada i la connexió següent falla en el pas que ningú no mira.

La ruta de punt final mereix un avís propi. Quan un client afegeix una ruta d’amfitrió cap al servidor VPN perquè els paquets xifrats hi arribin per la connexió local, esborrar aquella ruta enfonsa el túnel a la propera reconnexió, i el símptoma es llegeix com una fallada del servidor. Compareu la destinació amb l’adreça a què es connecta el client abans de tocar res: una única adreça pública que coincideixi amb el servidor VPN és el camí exterior, no brossa.

2. Anoteu els quatre camps que nomenen l’entrada

Un prefix sol no és una identitat, perquè dues interfícies poden tenir rutes cap a la mateixa destinació. Anoteu el prefix de destinació, l’índex d’interfície, el següent salt i el magatzem de polítiques, ja que aquests quatre valors descriuen exactament una entrada. Un sol llistat us els dona tots:

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric

Ordenar per mètrica destaca les rutes que la màquina realment prefereix, i és on sol seure una resta. Compareu l’entrada mentre el túnel és actiu i de nou després que caigui: una ruta que marxa amb l’adaptador era del client, i una que es queda la va escriure una altra cosa. El magatzem de polítiques és el camp que la gent omet, i és el que explica una reaparició, perquè una entrada eliminada del magatzem actiu torna després de la propera actualització de polítiques. Apunteu els quatre valors abans d’executar res que canviï l’estat.

3. Previsualitzeu la supressió i després elimineu una entrada

Remove-NetRoute accepta el mateix prefix i índex d’interfície que va imprimir Get-NetRoute, i té un commutador de previsualització, així que no cal endevinar res. Executeu la parella en aquest ordre:

Remove-NetRoute -DestinationPrefix 10.20.0.0/16 -InterfaceIndex 42 -WhatIf
Remove-NetRoute -DestinationPrefix 10.20.0.0/16 -InterfaceIndex 42

La previsualització imprimeix l’objecte que esborraria, així que compareu prefix, interfície i següent salt amb les vostres notes abans de deixar anar el commutador. Cap de les dues línies arriba a una entrada persistent, perquè el magatzem actiu és el valor per defecte; afegiu -PolicyStore PersistentStore quan la ruta que heu identificat hi visqui, o la supressió semblarà funcionar i l’entrada tornarà a la propera actualització de polítiques. Manteniu un camí de recuperació fora de banda quan la sessió sigui remota, perquè esborrar la ruta que porta la vostra pròpia connexió l’acaba. No aneu mai a una ordre que buidi la taula.

4. Trobeu quin component la torna a posar

Esborrar no és una solució mentre el propietari encara està configurat per instal·lar la ruta. El propietari sol ser un de tres: el perfil del client VPN amb la seva llista de túnel dividit, un script o una tasca programada que afegeix rutes a l’inici de sessió, o una política de domini aplicada a la màquina. Comproveu primer el perfil, perquè s’executa a cada connexió:

Get-VpnConnection | Select-Object Name,SplitTunneling,ServerAddress
Get-NetRoute -PolicyStore PersistentStore

Les entrades persistents són visibles sense connectar res, així que una ruta que torna després d’un reinici sense sessió VPN gairebé sempre viu en aquell magatzem o en un script d’inici. Corregiu-hi el propietari, i la supressió manual esdevé verificació en lloc de tractament.

5. Verifiqueu la consulta, els veïns i la nota

Un resultat net no és «la ruta ha desaparegut»; és una consulta que ara tria la interfície que esperàveu. Pregunteu a la màquina cap on aniria un paquet al prefix afectat, perquè una resta encara nomena l’índex mort mentre una resposta neta nomena la interfície de l’enllaç o la passarel·la correcta. Find-NetRoute ho respon per a una adreça alhora:

Find-NetRoute -RemoteIPAddress 10.20.4.7

Després proveu un veí: trieu un segon prefix que un túnel dividit encara necessita i confirmeu que la seva consulta no ha canviat, perquè treure una ruta de més és l’error que aquesta neteja convida a cometre. Torneu a provar l’aplicació que va fallar originalment, i anoteu quin component posseeix el prefix ara. La documentació de Microsoft sobre Get-NetRoute llista els camps que vau apuntar al segon pas. D’aquí a sis mesos, aquesta nota és el que impedeix diagnosticar la mateixa entrada dues vegades.