Geteilter Tunnel unter Windows: das Gateway-Kästchen und das fehlende Präfix

Der Tunnel meldet „verbunden“, und das Wiki lädt noch. Dann stockt ein Download, und die Freigabe im Regal antwortet nicht mehr. Der Tunnel hat seine Arbeit getan, und das Profil hat schlicht jedes Ziel beansprucht.

Windows behandelt eine VPN-Verbindung als Routing-Entscheidung. Solange diese Entscheidung nicht eingegrenzt ist, verhält sich der Rechner, als wäre er ins Büro umgezogen.

Warum ein funktionierender Tunnel wie ein Ausfall wirkt

Ein Profil, dem die Nutzung des entfernten Gateways erlaubt ist, installiert eine Standardroute durch den Tunnel. Jedes Ziel, das nicht am lokalen Link liegt, verlässt das Netz dann über die Firewall im Büro. Lokale Freigaben antworten nicht mehr, weil ihr Verkehr jetzt auf einen anderen Kontinent und zurück wandert. Nichts im Client-Status spiegelt das wider.

Die Symptome sind absichtlich verwirrend. Die Namensauflösung funktioniert womöglich noch, während die Freigabe in einen Timeout läuft, oder umgekehrt. Ein Nutzer meldet das VPN als defekt, der Client meldet sich als in Ordnung, und beide Aussagen stimmen.

Das Kontrollkästchen im IPv4-Dialog

Die Einstellung liegt mehrere Dialoge tief. Öffnen Sie ncpa.cpl, klicken Sie mit der rechten Maustaste auf die Verbindung, dann auf IPv4-Eigenschaften, dann auf Erweitert, und entfernen Sie das Häkchen bei der Option, die die Verbindung zum entfernten Standardgateway macht. Dieses eine Kästchen entscheidet, ob das Profil ein vollständiger Tunnel ist. Alles andere im Profil gilt weiterhin.

Vergleichen Sie route print -4 vor und nach dem erneuten Verbinden. Der Eintrag 0.0.0.0, der früher auf den Tunnel zeigte, sollte verschwunden sein, und die Firmen-Präfixe sollten weiterhin vorhanden sein.

route print -4 | findstr /c:"0.0.0.0"
Get-VpnConnection -Name 'Work VPN' | Select-Object Name, SplitTunneling, Routes

Die Metrik der Schnittstelle zu ändern ist kein Ersatz dafür. Eine Metrik entscheidet nur zwischen zwei konkurrierenden Standardrouten, und ein Client, der bei jedem Verbinden seine eigene Standardroute neu setzt, gewinnt diesen Wettstreit unabhängig von der eingestellten Zahl.

Das Präfix, das niemand aufgelistet hat

Split Tunnelling legt genau die im Profil vermerkten Präfixe frei. Ein Büro-Subnetz, das nach dem Schreiben des Profils hinzugekommen ist, bleibt unerreichbar, während der Tunnel völlig gesund ist. Die Meldung kommt dann als ein defekter Server an statt als defektes VPN.

Eine von Hand gesetzte Route überbrückt die Lücke, bis sich die Gateway-Adresse ändert. Das Präfix in der Verbindung zu hinterlegen ist stabiler, weil das Präfix dann der Verbindung folgt statt einer geratenen Adresse.

route -p add 172.20.8.0 mask 255.255.255.0 10.8.0.1
Add-VpnConnectionRoute -ConnectionName 'Work VPN' -DestinationPrefix 172.20.8.0/24
Get-VpnConnection -Name 'Work VPN' | Select-Object -ExpandProperty Routes

Lesen Sie die gespeicherte Liste und die aktive Tabelle zusammen. Ein gespeichertes Präfix kann existieren, während die Tabelle es nie erhält, was passiert, wenn ein Verwaltungsagent Routen filtert, nachdem die Verbindung steht. Der umgekehrte Fall kommt ebenfalls vor, wenn eine Registry-Route auf einen Adapter zeigt, der down ist. Keine der beiden Ansichten erzählt die ganze Geschichte.

Das Ergebnis nach einem Neustart belegen

Prüfen Sie in beide Richtungen und lösen Sie per Namen auf. Ein öffentlicher Trace sollte über den ISP hinausgehen, ein interner Trace sollte in den Tunnel eintreten, und ein interner Host sollte per Namen antworten und nicht nur per Adresse.

tracert -4 www.example.com
tracert -4 wiki.corp.example
ping -4 fileserver.corp.example
ping -4 172.20.8.20

Wiederholen Sie das nach einem Trennen, einem erneuten Verbinden und einem Neustart. Ein Präfix, das ein manuelles Wiederverbinden übersteht und nach einem Neustart verschwindet, war nie im Profil gespeichert.

Behalten Sie auch Drucker und NAS im Test, denn ein geteilter Tunnel, der die Geräte neben dem Laptop abschneidet, hat ein Problem gelöst, indem er ein kleineres und lästigeres geschaffen hat. Microsofts Add-VpnConnectionRoute-Referenz ist die Stelle, an der Sie die Schreibweise der Parameter mit Ihrer Modulversion abgleichen.