Dues VPN de Windows alhora: quin perfil es queda la ruta predeterminada?

Connecteu el segon túnel i el primer emmudeix, mentre tots dos clients encara informen d’una connexió saludable. Windows només té una ruta predeterminada per donar, i cada perfil que la reclama la pren de l’altre. El símptoma sembla una caiguda de la VPN, però és una competició d’encaminament entre dos perfils. Decidiu quin túnel ha de posseir aquesta ruta i la resta de la configuració en surt.

Només una entrada pot ser la millor ruta predeterminada

La taula d’encaminament IPv4 conté una única ruta guanyadora per a destinacions que no tenen una coincidència més específica. Un perfil de VPN que n’instal·la una de pròpia substitueix l’anterior tan bon punt es connecta, i el trànsit que abans entrava al primer túnel ara surt pel segon. El primer túnel continua actiu; el que desapareix és qualsevol paquet que l’hagués fet servir per a destinacions generals.

Les icones d’estat del client no ho poden mostrar. Informen que s’ha establert un túnel, no quins prefixos encara hi encaminen, així que l’usuari veu dues icones verdes i un temps d’espera en una aplicació. Llegir route print -4 durant la fallada és més informatiu que qualsevol registre de la VPN.

La resolució de noms és un segon conflicte independent, i arreglar només la taula d’encaminament no el resoldrà.

Què instal·la la casella i què elimina

L’opció és a les propietats de l’adaptador de cada perfil de VPN, dins de la configuració avançada d’IPv4, formulada com a ús de la porta d’enllaç predeterminada a la xarxa remota. Activada, cada connexió afegeix una ruta predeterminada pel túnel i posa aquesta interfície a la cua del trànsit general. Desactivada, Windows conserva la ruta per a la subxarxa pròpia del túnel i deixa la resta de la taula tranquil·la.

És en desmarcar-la on la majoria de la gent s’encalla. El lloc remot sol tenir més d’un prefix, i cap d’aquests prefixos és dins de la subxarxa de l’adaptador, així que els servidors de fitxers i les adreces de gestió deixen de respondre. La casella no va trencar el túnel; va eliminar la ruta àmplia que ho cobria tot.

Les configuracions mixtes són legítimes i habituals: un perfil corporatiu manté la casella com a túnel complet, mentre que un perfil de laboratori és dividit perquè no pugui desplaçar la ruta predeterminada corporativa.

Trieu segons què ha de portar cada túnel

Tres preguntes decideixen la disposició. Aquest túnel ha de portar trànsit d’internet corrent, o només adreces dins del seu propi lloc? Els dos llocs fan servir rangs privats disjunts? I si el perfil el gestiona un ocupador, se us permet canviar-ne el comportament d’encaminament?

Si un túnel ha de ser complet, posseeix la ruta predeterminada i l’altre ha de ser dividit. Si cap dels dos necessita trànsit general d’internet, desmarqueu la casella als dos i deixeu que l’adaptador físic conservi la ruta predeterminada. Si els rangs se superposen, atureu-vos: 172.22.0.0/16 no pot significar una màquina a la banda corporativa i una altra a la banda del laboratori, i cap casella ho resol.

Anoteu la decisió al costat dels noms dels perfils. Si no, una tercera VPN afegida el proper trimestre repetirà la investigació des del principi.

Afegiu els prefixos que falten i proveu el resultat

Per a cada túnel dividit, afegiu explícitament els rangs remots, fent servir l’adreça de parell que mostra aquell adaptador en lloc de l’adreça pública del servidor:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

Un adaptador PPP fa servir la seva adreça de parell com a salt següent, mentre que un adaptador TAP normalment fa servir la porta d’enllaç que mostra aquella interfície, així que llegiu els detalls de l’adaptador en lloc de copiar un número d’una guia. Afegiu el paràmetre persistent només després que la ruta s’hagi demostrat correcta, i esborreu les entrades persistents antigues abans d’afegir-ne de noves. Els clients gestionats poden instal·lar i protegir les seves pròpies rutes, i en aquest cas el propietari del perfil ha de fer el canvi.

El DNS necessita una passada a part. Tots dos túnels poden empènyer resoledors, i Windows manté una llista per interfície amb un ordre de preferència, així que un nom de la segona xarxa pot acabar al resoledor de la primera. Mireu què ha rebut realment cada adaptador abans de triar una solució:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Una política de resolució de noms per domini sol ser millor que substituir la llista global de resoledors, perquè aquesta llista la comparteix cada aplicació de la màquina i canviar-la en silenci mou cerques no relacionades.

Accepteu la configuració amb quatre comprovacions: un recurs a cada xarxa remota abastable per adreça, una consulta de nom a cadascuna, la ruta predeterminada d’internet encara apuntant a l’adaptador físic i una sessió d’escriptori remot que sobreviu a l’aixecament de la segona connexió.