Zwei Windows-VPNs gleichzeitig: Welches Profil behält die Standardroute?

Stecken Sie den zweiten Tunnel an, und der erste verstummt, während beide Clients weiterhin eine gesunde Verbindung melden. Windows hat nur eine Standardroute zu vergeben, und jedes Profil, das sie beansprucht, nimmt sie dem anderen weg. Das Symptom sieht wie ein VPN-Ausfall aus, ist aber ein Routenwettstreit zwischen zwei Profilen. Entscheiden Sie, welcher Tunnel diese Route besitzen soll, und der Rest der Konfiguration folgt.

Nur ein Eintrag kann die beste Standardroute sein

Die IPv4-Routingtabelle hält eine einzige gewinnende Route für Ziele ohne spezifischere Übereinstimmung. Ein VPN-Profil, das eine eigene installiert, ersetzt die vorherige, sobald es sich verbindet, und Datenverkehr, der zuvor in den ersten Tunnel ging, verlässt das System nun über den zweiten. Der erste Tunnel bleibt bestehen; es verschwindet jedes Paket, das ihn für allgemeine Ziele genutzt hätte.

Client-Statussymbole können das nicht anzeigen. Sie melden, dass ein Tunnel aufgebaut wurde, nicht welche Präfixe noch dorthin geroutet werden, also sieht der Nutzer zwei grüne Symbole und eine Zeitüberschreitung in einer Anwendung. Das Lesen von route print -4 während der Störung ist aufschlussreicher als jedes VPN-Protokoll.

Namensauflösung ist ein zweiter, unabhängiger Konflikt, und die Routentabelle allein zu korrigieren wird ihn nicht lösen.

Was das Häkchen installiert und was es entfernt

Die Option sitzt in den Adaptereigenschaften jedes VPN-Profils unter den erweiterten IPv4-Einstellungen und lautet, das Standardgateway im entfernten Netzwerk zu verwenden. Aktiviert fügt jede Verbindung eine Standardroute durch den Tunnel hinzu und stellt diese Schnittstelle für allgemeinen Verkehr an. Deaktiviert behält Windows die Route für das eigene Subnetz des Tunnels und lässt den Rest der Tabelle in Ruhe.

Beim Entfernen des Häkchens bleiben die meisten hängen. Der entfernte Standort hat meist mehr als ein Präfix, und keines dieser Präfixe liegt im Adapter-Subnetz, also antworten Dateiserver und Verwaltungsadressen nicht mehr. Das Häkchen hat den Tunnel nicht zerstört; es hat die breite Route entfernt, die alles abgedeckt hatte.

Gemischte Konfigurationen sind legitim und üblich: Ein Firmenprofil behält das Häkchen als Volltunnel, während ein Laborprofil geteilt ist, damit es die Firmen-Standardroute nicht verdrängen kann.

Wählen Sie danach, was jeder Tunnel tragen muss

Drei Fragen entscheiden die Anordnung. Muss dieser Tunnel gewöhnlichen Internetverkehr tragen oder nur Adressen innerhalb des eigenen Standorts? Nutzen die beiden Standorte disjunkte private Bereiche? Und wenn das Profil von einem Arbeitgeber verwaltet wird, dürfen Sie sein Routingverhalten überhaupt ändern?

Muss ein Tunnel vollständig sein, besitzt er die Standardroute und der andere muss geteilt sein. Braucht keiner allgemeinen Internetverkehr, entfernen Sie das Häkchen bei beiden und lassen Sie den physischen Adapter die Standardroute behalten. Überlappen sich die Bereiche, hören Sie auf: 172.22.0.0/16 kann nicht eine Maschine auf der Firmenseite und eine andere auf der Laborseite bedeuten, und kein Häkchen löst das.

Notieren Sie die Entscheidung neben den Profilnamen. Sonst wiederholt ein drittes VPN, das im nächsten Quartal hinzukommt, die Untersuchung von vorn.

Ergänzen Sie die fehlenden Präfixe und testen Sie das Ergebnis

Fügen Sie für jeden geteilten Tunnel die entfernten Bereiche ausdrücklich hinzu, und verwenden Sie die Peer-Adresse, die auf diesem Adapter angezeigt wird, statt der öffentlichen Serveradresse:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

Ein PPP-Adapter verwendet seine Peer-Adresse als nächsten Hop, während ein TAP-Adapter meist das auf dieser Schnittstelle angezeigte Gateway nutzt, also lesen Sie die Adapterdetails, statt eine Zahl aus einer Anleitung zu kopieren. Setzen Sie das persistente Kennzeichen erst, nachdem sich die Route als korrekt erwiesen hat, und löschen Sie alte persistente Einträge, bevor Sie Ersatz hinzufügen. Verwaltete Clients können eigene Routen installieren und schützen, dann muss der Profilinhaber die Änderung vornehmen.

DNS braucht einen eigenen Durchgang. Beide Tunnel können Resolver durchsetzen, und Windows führt pro Schnittstelle eine Liste mit Vorrangreihenfolge, sodass ein Name des zweiten Netzwerks an den Resolver des ersten gehen kann. Sehen Sie nach, was jeder Adapter tatsächlich erhalten hat, bevor Sie eine Korrektur wählen:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Eine Namensauflösungsrichtlinie pro Domäne ist meist besser als das Ersetzen der globalen Resolverliste, weil diese Liste von jeder Anwendung auf der Maschine geteilt wird und eine stille Änderung unzusammenhängende Abfragen verschiebt.

Nehmen Sie die Einrichtung mit vier Prüfungen ab: eine Ressource in jedem entfernten Netzwerk, per Adresse erreichbar, eine Namensabfrage in jedem, die Internet-Standardroute zeigt weiterhin auf den physischen Adapter, und eine Remotedesktopsitzung, die das Hochkommen der zweiten Verbindung übersteht.