Drucker offline, wenn das VPN verbindet? Prüfen Sie die Routing-Tabelle

Ihr Laptop tritt dem Firmen-VPN bei, und der zwei Meter entfernte Drucker antwortet nicht mehr. Am Drucker hat sich nichts geändert, und das lokale Netz ist nicht ausgefallen. Geändert hat sich die Routingtabelle: Der Tunneladapter besitzt jetzt einen Pfad, der die Druckeradresse abdeckt, sodass diese Pakete über das VPN verlassen und an einem Gateway ankommen, das keine Ahnung hat, wo Ihr flaches Netz liegt. Arbeiten Sie die vier Prüfungen unten der Reihe nach ab, und halten Sie bei der ersten an, die fehlschlägt.

Schritt eins: Beweisen Sie, dass der Drucker im LAN noch erreichbar ist

Bevor Sie das Routing anfassen, bestätigen Sie, dass das Gerät für etwas lebt, das das VPN nicht verwendet. Bitten Sie ein Telefon im selben Wi-Fi, die Webseite des Druckers zu öffnen, oder pingen Sie die Adresse von einem anderen Rechner im flachen Netz an. Antwortet der Drucker auch dort nicht, ist das VPN ein Zufall, und der Fehler liegt beim Drucker, seiner Wi-Fi-Zuordnung oder der Client-Isolation am Access Point.

Antwortet er überall außer auf diesem Laptop, haben Sie ein Routing- oder Namensauflösungsproblem, das auf dem Laptop lebt, und der nächste Schritt sagt Ihnen, welches der beiden es ist.

Schritt zwei: Finden Sie die Route, die Windows tatsächlich wählt

Lesen Sie die Tabelle nicht von oben nach unten und raten Sie nicht. Fragen Sie Windows, welchen Eintrag es für die genaue Adresse wählt, die Sie interessiert, und holen Sie gleichzeitig den Schnittstellenindex.

Find-NetRoute -RemoteIPAddress 192.168.1.50
route print -4
tracert -d 192.168.1.50

Find-NetRoute gibt die gewinnende Route und ihre Schnittstelle aus, und das sind die beiden Fakten, von denen der Rest abhängt. route print -4 zeigt die umliegenden Einträge, einschließlich der beiden halben Standardrouten, die Full-Tunnel-Clients installieren: 0.0.0.0/1 und 128.0.0.0/1, die zusammen den gesamten IPv4-Raum abdecken, ohne jemals 0.0.0.0/0 zu ersetzen. /1 ist länger als /0, aber Ihre 192.168.1.0/24 ist noch länger, weshalb eine fehlende LAN-Route mehr zählt als der Anspruch des Tunnels selbst.

Zwei Regeln entscheiden die Antwort. Das längste passende Präfix gewinnt zuerst, und unter Einträgen mit demselben Präfix gewinnt die niedrigere Gesamtmetrik, wobei die Gesamtmetrik die Routenmetrik und die Schnittstellenmetrik kombiniert. Ist die gewählte Schnittstelle der Tunnel, machen Sie weiter. Ist es der physische Adapter und der Verkehr scheitert weiterhin, halten Sie hier an: Ihr Problem ist die Namensauflösung oder die Zugriffsliste des Druckers selbst, nicht die VPN-Route.

Schritt drei: Fügen Sie die engste Route hinzu, die Gateway und Schnittstelle nennt

Die Reparatur ist ein Eintrag, der die Druckeradresse auf den lokalen Router am lokalen Adapter zeigt. Führen Sie ihn in einer erhöhten Eingabeaufforderung aus, und setzen Sie die Werte ein, die Sie gerade gelesen haben.

route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 if 12 -p

Der Wert von if ist der Schnittstellenindex des physischen Adapters. Ihn wegzulassen ist der häufigste Grund, warum der Befehl erfolgreich aussieht und nichts ändert, denn wenn zwei Adapter denselben nächsten Hop erreichen können, steht es Windows frei, den zu wählen, den Sie nicht wollten. Das Flag -p macht den Eintrag dauerhaft, sodass er einen Neustart überlebt, statt mit der Sitzung zu sterben.

Bevorzugen Sie eine Host-Route für das einzelne Gerät gegenüber einer Route für das ganze 192.168.1.0/24. Eine Subnetzroute ist breiter, als die Aufgabe braucht, und sie kollidiert in dem Moment, in dem die Firmenseite dasselbe Präfix ebenfalls verwendet: Ein Präfix hat dann zwei Eigentümer, und welcher Eintrag gewinnt, entscheidet, welches Netz Sie tatsächlich erreichen.

In die andere Richtung: Wenn Sie die Option für das Standard-Gateway entfernt haben an der VPN-Verbindung, um das LAN zu schützen, hören auch die entfernten privaten Präfixe auf, aufgelöst zu werden. Fügen Sie dafür Routen über die VPN-Schnittstelle auf dieselbe Weise hinzu, oder der Tunnel wird zu einer Verbindung, die nichts trägt.

Schritt vier: Sorgen Sie dafür, dass die Ausnahme die nächste Verbindung überlebt

Viele Firmenclients installieren bei jeder Verbindung ihren gesamten Routensatz neu und berechnen dabei die Schnittstellenmetriken neu, sodass eine Route, die gestern funktionierte, heute überstimmt werden kann. Wiederholen Sie nach dem Wiederverbinden Find-NetRoute für den Drucker, und prüfen Sie, ob die Schnittstelle noch zum physischen Adapter passt. Ist der Eintrag verschwunden, löscht ihn etwas; eine dauerhafte Route schützt Sie nicht vor einem Agenten, der die Tabelle durchfegt. Geplante Aufgaben, die die Route nach dem VPN-Verbindungsaufbau erneut hinzufügen, sind der übliche Behelf, und sie sind auch der Behelf, der bricht, wenn sich der Adapterindex nach einem Dock oder einem Treiberupdate ändert.

Beobachten Sie IPv6 für sich. Ein Client, der nur den IPv4-Standard beansprucht, kann die IPv6-Standardroute am physischen Adapter belassen, sodass ein über IPv6 erreichbarer Drucker weiter funktioniert, während IPv4 scheitert, oder umgekehrt. Testen Sie mit ping -4 und ping -6, bevor Sie entscheiden, dass die Routingtabelle unschuldig ist.

Was Sie die lokale Abkürzung kostet

Jede Route, die den Tunnel umgeht, ist ein Loch in das Versprechen des Tunnels. Verkehr zu dieser Adresse passiert nicht mehr das Firmen-Gateway, was bedeutet: keine Inspektion, keine Protokollierung und keine Richtliniendurchsetzung dafür. Auf einem verwalteten Gerät kann das ein Compliance-Problem statt einer Vorliebe sein, fragen Sie also, ob es eine offizielle Split-Tunnel-Ausnahme gibt, bevor Sie eine von Hand hinzufügen. Halten Sie Ihre so eng wie die Aufgabe und so kurzlebig, wie es die Situation erlaubt.

Antwortet der Drucker nach der Änderung, wiederholen Sie die vier Prüfungen nach Ihrer nächsten Wiederverbindung, statt anzunehmen, die Reparatur habe gehalten. Antwortet er nicht, erfassen Sie die Ausgabe von Find-NetRoute vor und nach der Verbindung; der Unterschied sagt Ihnen, ob der Client den Eintrag gelöscht oder nur neu eingestuft hat.