Printeren offline, når VPN-forbindelsen oprettes? Tjek rutetabellen

Din bærbare computer tilslutter sig virksomhedens VPN, og printeren to meter væk holder op med at svare. Der er ikke ændret noget på printeren, og det lokale netværk er ikke gået ned. Det, der er ændret, er rutetabellen: tunneladapteren ejer nu en vej, der dækker printerens adresse, så disse pakker forlader gennem VPN’et og ankommer til en gateway, der ikke aner, hvor dit flade netværk er. Gå gennem de fire kontroller nedenfor i rækkefølge, og stop ved den første, der fejler.

Trin et: bevis, at printeren stadig kan nås på LAN’et

Før du rører ved routing, skal du bekræfte, at enheden er levende for noget, der ikke bruger VPN’et. Bed en telefon på samme Wi-Fi om at åbne printerens webside, eller ping adressen fra en anden maskine på det flade netværk. Hvis printeren heller ikke svarer der, er VPN’et en tilfældighed, og fejlen ligger hos printeren, dens Wi-Fi-tilknytning eller klientisolering på adgangspunktet.

Hvis den svarer overalt undtagen på denne bærbare, har du et routing- eller navneopløsningsproblem, der bor på den bærbare, og næste trin fortæller dig, hvilket af de to det er.

Trin to: find den rute, Windows faktisk vælger

Læs ikke tabellen oppefra og ned og gæt. Spørg Windows, hvilken post den vælger til den præcise adresse, du har brug for, og hent samtidig interfaceindekset.

Find-NetRoute -RemoteIPAddress 192.168.1.50
route print -4
tracert -d 192.168.1.50

Find-NetRoute udskriver den vindende rute og dens interface, og det er de to fakta, som resten afhænger af. route print -4 viser de omkringliggende poster, inklusive de to halve standardruter, som fuldtunnel-klienter installerer: 0.0.0.0/1 og 128.0.0.0/1, som sammen dækker hele IPv4-rummet uden nogensinde at erstatte 0.0.0.0/0. /1 er længere end /0, men din 192.168.1.0/24 er endnu længere, og derfor betyder en manglende LAN-rute mere end selve tunnelens krav.

To regler afgør svaret. Det længste matchende præfiks vinder først, og blandt poster med samme præfiks vinder den lavere samlede metrik, hvor totalen kombinerer rutemetricen og interfacemetricen. Hvis det valgte interface er tunnelen, skal du fortsætte. Hvis det er den fysiske adapter, og trafikken stadig fejler, skal du stoppe her: dit problem er navneopløsning eller printerens egen adgangsliste, ikke VPN-ruten.

Trin tre: tilføj den smalleste rute, der navngiver gateway og interface

Rettelsen er én post, der peger printerens adresse mod den lokale router på den lokale adapter. Kør den i en forhøjet kommandoprompt, og indsæt de værdier, du lige har læst.

route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 if 12 -p

Værdien af if er interfaceindekset for den fysiske adapter. At udelade det er den mest almindelige grund til, at kommandoen ser ud til at lykkes og ikke ændrer noget, for når to adaptere kan nå samme næste hop, står Windows frit til at vælge den, du ikke ønskede. Flaget -p gør posten vedvarende, så den overlever en genstart i stedet for at dø med sessionen.

Foretræk en værtsrute til den enkelte enhed frem for en rute til hele 192.168.1.0/24. En undernetrute er bredere, end opgaven kræver, og den kolliderer i det øjeblik, virksomhedens side også bruger det præfiks: ét præfiks har så to ejere, og hvilken post der vinder, afgør, hvilket netværk du faktisk kan nå.

Den anden vej, hvis du har fjernet indstillingen for standardgateway på VPN-forbindelsen for at beskytte LAN’et, holder de eksterne private præfikser også op med at blive opløst. Tilføj ruter for dem gennem VPN-interfacet på samme måde, ellers bliver tunnelen et led, der ikke bærer noget.

Trin fire: få undtagelsen til at overleve næste forbindelse

Mange virksomhedsklienter geninstallerer hele deres rutesæt ved hver forbindelse og genberegner interfacemetrikker, mens de gør det, så en rute, der virkede i går, kan blive overtrumfet i dag. Efter genopkobling skal du gentage Find-NetRoute for printeren og kontrollere, at interfacet stadig svarer til den fysiske adapter. Hvis posten er væk, er der noget, der sletter den; en vedvarende rute beskytter dig ikke mod en agent, der fejer tabellen. Planlagte opgaver, der tilføjer ruten igen, når VPN’et forbinder, er den sædvanlige løsning, og de er også den løsning, der knækker, når adapterindekset ændrer sig efter en dock eller en driveropdatering.

Hold øje med IPv6 for sig. En klient, der kun kræver IPv4-standarden, kan efterlade IPv6-standardruten på den fysiske adapter, så en printer, der kan nås over IPv6, bliver ved med at virke, mens IPv4 fejler, eller omvendt. Test med ping -4 og ping -6, før du beslutter, at rutetabellen er uskyldig.

Hvad den lokale genvej koster dig

Enhver rute, der omgår tunnelen, er et hul i tunnelens løfte. Trafik til den adresse passerer ikke længere virksomhedens gateway, hvilket betyder ingen inspektion, ingen logning og ingen håndhævelse af politik på den. På en administreret enhed kan det være et compliance-problem snarere end en præference, så spørg, om der findes en officiel split-tunnel-undtagelse, før du tilføjer en i hånden. Hold din så smal som opgaven og så kortvarig, som situationen tillader.

Hvis printeren svarer efter ændringen, skal du gentage de fire kontroller efter din næste genopkobling i stedet for at antage, at rettelsen holdt. Hvis den ikke svarer, skal du fange Find-NetRoute-output før og efter forbindelsen; forskellen fortæller dig, om klienten slettede posten eller kun omrangordnede den.