Windows-VPN zieht den gesamten Datenverkehr? Entfernen Sie seine Standardroute

Deaktivieren Sie Standardgateway im Remote-Netzwerk verwenden, löschen Sie die übertragene Standardroute, fügen Sie Ihre Firmenpräfixe wieder hinzu und prüfen Sie danach DNS und IPv6 erneut.

Sie verbinden sich mit dem Firmen-VPN, und jede Browserseite läuft nun über dieses Netz: Der Dateiserver ist schnell, alles andere ist langsam, gefiltert oder weg. Der Client verhält sich nicht falsch; das Profil verlangte einen vollständigen Tunnel. Der Schalter dagegen ist ein Kontrollkästchen in einem Dialog, den die moderne Einstellungen-App nicht zeigt, und das Gateway redet bei jeder Verbindung wieder mit. Diese Anleitung folgt der Reihenfolge, die die Windows-Oberfläche tatsächlich anbietet, und deckt dann die Prüfungen ab, die auch bei korrekter Routentabelle noch scheitern.

Beginnen Sie in den Adaptereigenschaften, nicht in den Einstellungen

Die Einstellungen-App führt das Profil unter Netzwerk und Internet und dann VPN auf, zeigt aber nur allgemeine Optionen. Die Entscheidung über das Standardgateway sitzt am Adapter. Öffnen Sie die klassische Adapterliste mit Win+R und ncpa.cpl, klicken Sie mit der rechten Maustaste auf die VPN-Verbindung, wählen Sie Eigenschaften, dann Internetprotokoll Version 4, erneut Eigenschaften und schließlich Erweitert. Entfernen Sie das Häkchen bei Standardgateway im Remote-Netzwerk verwenden und bestätigen Sie den Weg aus allen drei Dialogen.

Verbinden Sie sich vor dem Test neu, denn das Kontrollkästchen wirkt beim Aufbau des Tunnels, und eine bestehende Sitzung behält die Tabelle, die sie aufgebaut hat. Fehlt der Adapter, während der Client getrennt ist, verbinden Sie sich einmal und öffnen Sie das Fenster erneut. Ein Herstellerclient, der einen TAP- oder Wintun-Adapter ohne IPv4-Eigenschaftsseite installiert, hat diesen Dialog gar nicht; dort ist dieselbe Entscheidung eine Split-Tunnel-Option in den eigenen Einstellungen des Clients, und das Kontrollkästchen am Adapter ist die falsche Stelle zum Suchen.

Dieselbe Änderung über PowerShell

Bei einem im Windows-VPN-Speicher angelegten Profil lässt sich die Einstellung skripten, was genau das ist, was Sie wollen, wenn die Maschine oft neu aufgesetzt wird:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Dieses Cmdlet erreicht nur Profile in diesem Speicher. Eine von einem Drittanbieter-Client hinzugefügte Verbindung erscheint nicht, und der Befehl scheitert mit einem Namensfehler, der wie ein Tippfehler aussieht. Beachten Sie auch, was der Schalter nicht tut: Er hindert den Client daran, eine Standardroute zu installieren, aber er entfernt keine Routen, die das Gateway beim Verbinden überträgt, sodass der nächste Abschnitt in vielen Netzen weiterhin nötig ist.

Wenn das Gateway die Standardroute zurückschiebt

Lesen Sie zuerst die Tabelle. Zwei Standardeinträge mit unterschiedlichen Metriken bedeuten, dass die Profiländerung gewirkt hat und die übertragene Route sie trotzdem ersetzt hat:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Löschen Sie die Standardroute, die zum Tunnel gehört, und behalten Sie die physische. Verwenden Sie den Schnittstellenindex aus dem dritten Befehl, nicht den Adapteralias, denn Skripte, die einen Alias übergeben, brechen, sobald sich der Anzeigename ändert:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

Das Löschen nimmt das Büro mit, also fügen Sie die Unternehmenspräfixe über das Tunnel-Gateway wieder hinzu. Diese Zeile überspringen die Leute, und deshalb folgt auf eine erfolgreiche Split-Tunnel-Änderung «das VPN funktioniert nicht mehr»:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Nichts davon überlebt eine neue Verbindung, was ehrliches Verhalten und kein Fehler ist: Der Adapter wird neu aufgebaut, und der Client wendet erneut an, worauf sich Profil und Gateway geeinigt haben. Erscheint die Standardroute jedes Mal wieder, ist das Gateway so konfiguriert, dass es Split-Tunneling ablehnt, und wird sie weiter übertragen oder die Sitzung trennen. Das ist die Richtlinie des Netzbetreibers, und die Anfrage gehört dorthin und nicht in ein lokales Skript, das einmal pro Verbindung dagegen ankämpft.

Prüfen Sie DNS, IPv6 und die Metriken nach einer neuen Verbindung erneut

Das Entfernen einer IPv4-Standardroute beweist nichts über die andere Familie oder über die Namensauflösung. Ein Tunnel kann IPv6 tragen, während die IPv4-Standardroute lokal bleibt, und eine übertragene Resolverliste kann interne Namen am Laufen halten, während die Abfragen, die sie nutzen, einen anderen Weg nehmen. Prüfen Sie alle drei, bevor Sie es als erledigt bezeichnen:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

Setzt sich der Zustand bei jeder Verbindung zurück, verschieben Sie die Befehle in eine Aktion pro Verbindung, statt die Tabelle von Hand zu bearbeiten: eine geplante Aufgabe, die beim Verbindungsereignis ausgelöst wird, oder die eigene Split-Tunnel-Einstellung des Clients, wo es eine gibt. Halten Sie den Schnittstellenindex in einer Variablen und schlagen Sie ihn zur Laufzeit nach, da er sich ändern kann, wenn Adapter hinzugefügt oder entfernt werden.

Entscheiden Sie, worauf Sie verzichtet haben

Lokaler Internetverkehr wird vom Büro nicht mehr inspiziert oder gefiltert, und alles, was nur über den Tunnel veröffentlicht wird, braucht jetzt seine eigene Route. Manche Organisationen betrachten Split-Tunneling als Richtlinienverstoß, bestätigen Sie das also, bevor Sie ein verwaltetes Gerät ändern; eine übertragene Standardroute ist manchmal der Durchsetzungsmechanismus und kein Versehen. Die Dokumentation zu Set-VpnConnection listet den Split-Tunneling-Parameter und die Profiltypen, für die er gilt.

Prüfen Sie dann in fester Reihenfolge: wer die Standardroute besitzt, gewöhnliches Surfen, einen Firmenhost über die Adresse, einen internen Namen und dieselben vier nach einer einzigen neuen Verbindung. Funktioniert das Surfen und der Firmenhost scheitert, fehlt die Präfixroute und nicht die entfernte Standardroute, und das ist viel billiger zu beheben als das Profil neu aufzubauen.

Ähnliche Artikel