Proč váš Windows VPN zabíjí místní tiskárnu a jak to zastavit

Připojte VPN a tiskárna zmizí, sdílená složka NAS se přestane otevírat a relace vzdálené plochy k počítači vedle vás vyprší. Nic se nerozbilo. Klient přidal výchozí trasu a nyní vlastní každý cíl, který notebook dokáže pojmenovat, včetně těch tři metry daleko. To je celý mechanismus a nazvat to závadou VPN je přesně to, co z opravy na jeden řádek dělá případ pro podporu.

Nejprve si přečtěte tabulku tras

Než cokoli změníte, sejměte tabulku IPv4 pomocí route print -4 a výstup si uložte. Připojte se, sejměte ji znovu a porovnejte řádky 0.0.0.0: aktivní výchozí trasa pojmenovává rozhraní, a pokud je tím rozhraním tunel, místní tisk a prohlížení se posílají nejprve do kanceláře.

Číslo rozhraní ve druhém sloupci je to, na co musí trvalá trasa později odkazovat, tak si ho zapište, dokud je tunel aktivní. Je to také hodnota, která se mění při opětovném vytvoření adaptéru, a proto trasy na ni připnuté mohou tiše přežít svou užitečnost.

Výchozí trasu odstraňte třemi způsoby

U integrovaného profilu Windows je ovládání zaškrtávací políčko. Otevřete vlastnosti připojení, IPv4, pak Upřesnit a zrušte Use default gateway on remote network; novější aplikace Nastavení skrývá stejný dialog o jednu vrstvu hlouběji. Z příkazového řádku spuštěného jako správce je stejná změna jeden cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

Profil OpenVPN funguje jinak, a proto jeho chování mate lidi, kteří čekají zaškrtávací políčko. Jeho redirect-gateway def1 direktiva výchozí trasu vůbec nenahrazuje; instaluje dvě trasy polovičního rozsahu, 0.0.0.0/1 a 128.0.0.0/1, které společně převýší výchozí trasu, aniž by ji smazaly. Protože původní výchozí trasa přežívá, přidání prefixu směřujícího na net_gateway pošle zpět do místního routeru jen tento prefix. Ten detail vysvětluje, proč je oprava pro profil def1 trasou prefixu, a ne zaškrtávacím políčkem, které nikdo nenajde.

Přidejte zpět jen to, co patří práci

Bez výchozí trasy tunel nic nepřenáší, takže pracovní prefixy je nutné pojmenovat výslovně. Cmdlet, který připojí prefix ke spojení, je bezpečnější než trvalá trasa, protože se instaluje jen po dobu, kdy je toto spojení aktivní, a nezávisí na čísle rozhraní:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Starší přístup stále funguje a stále je v každém kontrolním seznamu: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, s vlastním indexem rozhraní a adresou brány tunelu. Přetrvává přes restartování, což je smysl a také riziko, protože index může při dalším startu patřit něčemu jinému.

Ostatní rozhodují metriky. Pokud se fyzický i tunelový adaptér hlásí o trasu pro stejný prefix, vyhrává nižší metrika a zvyšování metriky tunelu je legitimní ovládání na straně klienta, ne hack.

Když server rozhodne za vás

Klient, který ignoruje vaše zaškrtávací políčko, obvykle poslouchá politiku. Profily Cisco nesou nastavení Allow Local LAN Access, a headend může poslat politiku tunnel-all, která přebije, co by klient preferoval; u povinného tunelu není žádný místní přepínač k přepnutí. Čtěte log klienta kvůli posílaným trasám a řádkům politik, místo abyste znovu kontrolovali stejný dialog.

Pak se podívejte na překlad jmen, což je samostatný přepínač od směrování. Rozdělený tunel může stále dostat interní resolver a vyhledávací suffix, takže místní zařízení je dostupné podle adresy a nenajditelné podle jména, dokud se neopraví i strana DNS.

Překryvy jsou jiný problém

Pokud domácí LAN a firemní LAN sdílejí stejný prefix jako 192.168.0.0/24, žádná trasa je nedokáže rozlišit. Každý paket pro tento rozsah má jediný výsledek vyhledání a opravou je přečíslovat jednu stranu nebo se do kanceláře dostat přes přeloženou adresu z poolu. Přidání konkrétnějších tras jen posouvá, která polovina sítě se rozbije.

Skončete jedním ověřením místo pěti: připojte se a pak spusťte tracert na interní a na veřejný hostitel. První skok by se měl lišit, a pokud se neliší, rozdělení není v provozu, ať klient hlásí cokoli. Potom se jednou znovu připojte a opakujte, protože posílané trasy se vracejí s každou relací.