Trawsglic VPN fesul ap Windows yn erbyn twnnel hollt: beth sy'n ynysu
Mae proffil VPN Windows a ysgogir gan ap yn dechrau twnnel yn unig. Mae twnnel hollt wedi'i lwybro yn penderfynu beth sy'n mynd i mewn iddo, ac mae pob un yn methu'n wahanol ar gyfer un ap.
Mae dau osodiad Windows yn edrych yn debyg yn Gosodiadau ac yn ymddwyn yn hollol wahanol. Un yw proffil VPN a gopïwyd gyda thrawsglic ap, felly mae dechrau un ffeil weithredadwy yn codi'r twnnel. Y llall yw proffil twnnel hollt y mae ei restr llwybrau yn digwydd cynnwys yr hyn y mae'r ap hwnnw'n siarad ag ef. Mae'r cyntaf yn ateb pryd y mae'r twnnel yn bodoli. Mae'r ail yn ateb pa becynnau sy'n mynd i mewn iddo, a dim ond yr ail sy'n gadael gweddill y peiriant ar y cyswllt corfforol tra bo'r ap yn parhau'n gysylltiedig.
Mae'r trawsglic yn rheol cylch bywyd, nid yn rheol llwybro
Add-VpnConnectionTriggerApplication yn clymu llwybr ffeil weithredadwy i enw proffil. Pan fydd y broses honno'n dechrau, mae'r Rheolwr Cysylltiadau Mynediad Pell yn galw'r proffil, ac pan fydd amod y trawsglic yn dod i ben, gall y cysylltiad gwympo. Nid oes unrhyw beth yn y cyfnewid hwnnw'n archwilio socedau. Mae'r cmdlet angen shell wedi'i godi, llwybr llawn y deuaidd, a -Force pan fyddwch yn disodli cofnod sy'n bodoli. Cadarnhewch fod y cysylltiad wedi goroesi gyda Get-VpnConnectionTrigger yn lle dibynnu ar yr anogwr; mae cyfeirlyfr Add-VpnConnectionTriggerApplication gan Microsoft yn rhestru'r paramedrau a'r enghreifftiau.
Mae dau derfyn yn egluro'r rhan fwyaf o'r adroddiadau bod „y trawsglic yn gwneud dim”. Mae trawsgliciau wedi'u hadeiladu o amgylch proffiliau ar gyfer pob defnyddiwr, felly cwmpas y proffil yw'r peth cyntaf i'w setlo, ac mae'n rhaid i lwybr yr ap gyd-fynd â'r deuaidd sy'n rhedeg mewn gwirionedd, nid â llwybr byr nac â lansiwr sy'n creu ail broses. Mae'r terfyn arall yn fwriadol: ar rwydwaith y mae Windows yn ei dosbarthu fel un dibynadwy, mae'r trawsglic yn aros yn segur, oherwydd bwriad y proffil yw tanio oddi cartref.
Add-VpnConnectionTriggerApplication -Name "APP_VPN" -ApplicationID "C:\Program Files\Vendor\app.exe" -Force
Get-VpnConnectionTrigger -Name "APP_VPN" | Format-List *
Get-VpnConnection -Name "APP_VPN" | Format-List Name,ConnectionStatus,SplitTunneling,AllUserConnectionMae'r twnnel hollt yn penderfynu beth sy'n croesi'r twnnel
Gyda'r twnnel hollt i ffwrdd, mae Windows yn gosod llwybr diofyn yn seiliedig ar ddosbarth â metrig isel ar y rhyngwyneb VPN. Mae pob soced yn ei ddilyn, gan gynnwys y porwr a'r gwasanaeth diweddaru, felly mae trawsglic yn y ffurfweddiad hwnnw'n symud y peiriant cyfan cyhyd ag y bydd y proffil wedi'i gysylltu. Mae'r trawsglic yn dal i fod yn rheol cylch bywyd yn unig; daeth radiws yr effaith o'r llwybr.
Gyda'r twnnel hollt ymlaen, dim ond y rhagddodiaid y mae'r porth yn eu gwthio neu'r rhai a gewch chi eu hychwanegu at y rhyngwyneb VPN sy'n cael eu cario gan y proffil. Mae popeth arall yn dal i ddefnyddio'r llwybr diofyn corfforol. Dyna'r trefniant y mae pobl fel arfer yn ei olygu wrth „un ap trwy allanfa ar wahân”, ac mae'n benderfyniad llwybro o'r dechrau i'r diwedd.
Set-VpnConnection -Name "APP_VPN" -SplitTunneling $true
Get-VpnConnection -Name "APP_VPN" | Select-Object SplitTunneling
Get-NetRoute -InterfaceAlias "APP_VPN" | Sort-Object DestinationPrefixLle mae hollt wedi'i lwybro yn stopio ynysu eich ap
Y methiant cyffredin yw cyrchfan nad yw byth yn ymddangos yn rhestr llwybrau'r twnnel. Bydd ap sy'n mewngofnodi yn erbyn un cyfeiriad ac yna'n ffrydio o CDN, neu'n datrys dwsin o bwyntiau terfynol cylchdro, yn rhoi rhai cysylltiadau ar y rhyngwyneb VPN a'r gweddill ar Wi-Fi. Mae IPv6 yn dabl ar wahân, felly gall proffil sy'n gwthio rhagddodiaid IPv4 yn unig edrych yn gywir tra bo traffig IPv6 yr ap yn aros yn lleol.
Mae dau effaith lai yr un mor bwysig. Yr hiriaf gyfatebiaeth rhagddodiad sy'n ennill, felly gall llwybr on-link mwy penodol, /32 a wthir ar gyfer gwesteiwr rheoli, neu is-rwyd yr ail addasydd guro'r twnnel ar gyfer yr union gyfeiriad rydych chi'n poeni amdano. Mae datrys enwau hefyd yn digwydd cyn llwybro: oni bai bod gweinyddwyr DNS y proffil neu reol NRPT yn cwmpasu'r enw, gall yr ap ddatrys trwy'r addasydd corfforol ac yna deialu cyfeiriad nad oedd erioed o fewn y rhagddodiaid twnelu.
Tri siâp, a beth mae pob un yn ei brynu
Y tabl yw'r rhan y byddwn yn ei ludo i'r wal, oherwydd mae'r penderfyniad yn ymwneud â radiws yr effaith yn hytrach na nodweddion. Os yw cyrchfannau'r ap yn rhagddodiaid sefydlog y gallwch eu rhestru, mae'r hollt wedi'i lwybro yn rhoi ynysu gyda'r ôl troed lleiaf. Os nad ydynt, mae proffil llwybr diofyn y tu ôl i VM neu ail ddyfais yn cadw'r gwahanu'n onest ar gost symud mwy nag un broses.
| Shape | What starts the tunnel | What enters it | Pick it when |
|---|---|---|---|
| Trigger plus routed split | Process start | Only pushed or added prefixes | The app's endpoints are stable prefixes and the host should stay direct |
| Trigger plus default route | Process start | Everything, machine-wide | You need one exit for all traffic and accept the wider scope |
| Separate VM or device | Guest boot or login | Everything inside that guest | The app's destinations rotate, or the host must keep its own public address |
Yr hyn nad yw'r un o'r rhain yn ei gynnig yw clymu ar lefel soced ar y gwesteiwr. Nid oes gan glient VPN clasurol Windows unrhyw reol sy'n dweud bod yn rhaid i'r broses hon ddefnyddio'r addasydd hwnnw; mae trawsgliciau a hidlwyr llwybrau yn byw mewn haenau gwahanol, a'r haen sy'n dewis rhyngwyneb yw'r tabl llwybro. Os yw canllaw'n addo gorfodi fesul ap o broffil a gopïwyd yn unig, gofynnwch pa lwybr neu pa hidlydd sy'n gwneud y gwaith.
Gwiriwch y pâr mewn un pas
Profwch y cylch bywyd a'r llwybro ar wahân, yn y drefn honno. Caewch yr ap, cadarnhewch fod y proffil yn adrodd Disconnected, yna dechreuwch yr ap a gwiriwch fod y cyflwr wedi newid. Dim ond ar ôl i'r twnnel godi y dylech ofyn i ble mae cyrchfan penodol yn mynd, a dylech ddefnyddio'r cyfeiriad y mae'r ap yn ei ddeialu mewn gwirionedd yn lle dyfalu.
$app = Get-Process app | Select-Object -First 1
Get-VpnConnection -Name "APP_VPN" | Select-Object ConnectionStatus
Get-NetTCPConnection -OwningProcess $app.Id -State Established | Select-Object RemoteAddress,RemotePort
Find-NetRoute -RemoteIPAddress 203.0.113.10Find-NetRoute yn enwi'r rhyngwyneb a'r naid nesaf a fyddai'n cario'r gyrchfan honno. Mae alias corfforol yno yn golygu bod y twnnel wedi codi ac yn amherthnasol i'r llif hwnnw: gwiriwch y rhagddodiaid a wthiwyd, yna'r llwybrau mwy penodol, yna IPv6. Os nad yw'r cyflwr yn newid o gwbl, ni thaniodd y trawsglic, a llwybr y ffeil weithredadwy, cwmpas y proffil a log gweithredol y cleient VPN yw'r tri lle i edrych.
Glanhewch yn daclus fel bod y prawf nesaf yn onest
Tynnwch yn y drefn wrthdro i'r un y gwnaethoch ei hadeiladu: y trawsglic ap yn gyntaf, yna'r proffil. Mae dileu'r proffil tra bo'r trawsglic yn parhau yn gadael cysylltiad crog sy'n gwneud y cynnig nesaf yn ddryslyd, ac Remove-VpnConnection -Force nid yw bob amser yn clirio cofnod llyfr ffôn a grëwyd y tu allan i'r cmdletau.
Mae cofnodion fesul defnyddiwr yn byw yn rasphone.pbk y defnyddiwr o dan y proffil Roaming; mae cofnodion ar gyfer pob defnyddiwr yn byw o dan ProgramData. Gwiriwch yr ystorfa sy'n cyd-fynd â chwmpas y proffil, ailgysylltwch y proffil a gadwoch, a chadarnhewch fod ei lwybrau a'i DNS yn dal i ymddwyn, fel bod prawf diweddarach yn mesur y newid a wnaethoch yn hytrach na chyflwr dros ben.
- Mae'r twnnel yn dechrau ar ddechrau'r broses, nid ar fewngofnodi.
- Dim ond y rhagddodiaid arfaethedig sy'n ymddangos ar y rhyngwyneb VPN.
- Mae gwir gyfeiriad pell yr ap yn datrys i alias y VPN.
- Nid oes trawsglic crog yn aros ar ôl tynnu'r proffil.