Γιατί το VPN σας στα Windows σκοτώνει τον τοπικό εκτυπωτή και πώς να το σταματήσετε

Συνδέστε το VPN και ο εκτυπωτής εξαφανίζεται, ο κοινόχρηστος φάκελος NAS σταματά να ανοίγει και μια συνεδρία Απομακρυσμένης επιφάνειας εργασίας προς το μηχάνημα δίπλα σας λήγει. Τίποτα δεν χάλασε. Ο πελάτης πρόσθεσε μια προεπιλεγμένη διαδρομή και τώρα κατέχει κάθε προορισμό που μπορεί να ονομάσει ο φορητός, μαζί με εκείνους που βρίσκονται τρία μέτρα μακριά. Αυτός είναι όλος ο μηχανισμός, και το να το αποκαλείτε βλάβη του VPN είναι αυτό που μετατρέπει μια διόρθωση μιας γραμμής σε περιστατικό υποστήριξης.

Διαβάστε πρώτα τον πίνακα δρομολόγησης

Πριν αλλάξετε οτιδήποτε, καταγράψτε τον πίνακα IPv4 με route print -4 και κρατήστε την έξοδο. Συνδεθείτε, καταγράψτε ξανά και συγκρίνετε τις γραμμές 0.0.0.0: η ενεργή προεπιλεγμένη διαδρομή ονομάζει μια διεπαφή, και αν αυτή η διεπαφή είναι η σήραγγα, η τοπική εκτύπωση και περιήγηση στέλνονται πρώτα στο γραφείο.

Ο αριθμός διεπαφής στη δεύτερη στήλη είναι αυτό στο οποίο πρέπει να αναφερθεί αργότερα μια μόνιμη διαδρομή, οπότε σημειώστε τον όσο η σήραγγα είναι ενεργή. Είναι επίσης η τιμή που αλλάζει όταν ο προσαρμογέας δημιουργείται ξανά, γι’ αυτό οι διαδρομές που είναι καρφιτσωμένες σε αυτόν μπορούν να επιβιώσουν ήσυχα της χρησιμότητάς τους.

Αφαιρέστε την προεπιλεγμένη διαδρομή, με τρεις τρόπους

Σε ένα ενσωματωμένο προφίλ Windows το στοιχείο ελέγχου είναι ένα πλαίσιο ελέγχου. Ανοίξτε τις ιδιότητες της σύνδεσης, IPv4, μετά Για προχωρημένους, και καθαρίστε το Use default gateway on remote network· η νεότερη εφαρμογή Ρυθμίσεις κρύβει τον ίδιο διάλογο ένα επίπεδο βαθύτερα. Από ένα αναβαθμισμένο παράθυρο εντολών η ίδια αλλαγή είναι ένα cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

Ένα προφίλ OpenVPN λειτουργεί διαφορετικά, γι’ αυτό η συμπεριφορά του μπερδεύει όσους περιμένουν ένα πλαίσιο ελέγχου. Η οδηγία του redirect-gateway def1 δεν αντικαθιστά καθόλου την προεπιλεγμένη διαδρομή· εγκαθιστά δύο διαδρομές μισού εύρους, 0.0.0.0/1 και 128.0.0.0/1, που μαζί κερδίζουν την προεπιλεγμένη χωρίς να τη διαγράψουν. Επειδή η αρχική προεπιλεγμένη επιβιώνει, η προσθήκη ενός προθέματος που δείχνει στο net_gateway στέλνει πίσω στον τοπικό δρομολογητή μόνο αυτό το πρόθεμα. Αυτή η λεπτομέρεια εξηγεί γιατί η διόρθωση για ένα προφίλ def1 είναι διαδρομή προθέματος και όχι ένα πλαίσιο ελέγχου που κανείς δεν βρίσκει.

Προσθέστε ξανά μόνο ό,τι ανήκει στην εργασία

Χωρίς την προεπιλεγμένη διαδρομή η σήραγγα δεν μεταφέρει τίποτα, οπότε τα προθέματα εργασίας πρέπει να ονομαστούν ρητά. Το cmdlet που δένει ένα πρόθεμα με τη σύνδεση είναι ασφαλέστερο από μια μόνιμη διαδρομή, γιατί εγκαθίσταται μόνο όσο αυτή η σύνδεση είναι ενεργή και δεν εξαρτάται από αριθμό διεπαφής:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Η παλαιότερη προσέγγιση λειτουργεί ακόμη και βρίσκεται ακόμη σε κάθε λίστα ελέγχου: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, με τον δικό του δείκτη διεπαφής και τη διεύθυνση πύλης της σήραγγας. Επιβιώνει στις επανεκκινήσεις, που είναι το νόημα και επίσης ο κίνδυνος, αφού ο δείκτης μπορεί στην επόμενη εκκίνηση να ανήκει σε κάτι άλλο.

Οι μετρικές αποφασίζουν τα υπόλοιπα. Αν και ο φυσικός και ο προσαρμογέας σήραγγας διεκδικούν διαδρομή για το ίδιο πρόθεμα, κερδίζει η χαμηλότερη μετρική, και το να ανεβάσετε τη μετρική της σήραγγας είναι θεμιτός έλεγχος από την πλευρά του πελάτη και όχι κόλπο.

Όταν ο διακομιστής αποφασίζει για εσάς

Ένας πελάτης που αγνοεί το πλαίσιο ελέγχου σας συνήθως υπακούει σε μια πολιτική. Τα προφίλ Cisco φέρουν μια ρύθμιση Allow Local LAN Access, και ένα headend μπορεί να σπρώξει πολιτική tunnel-all που υπερισχύει ό,τι θα προτιμούσε ο πελάτης· σε ανάπτυξη υποχρεωτικής σήραγγας δεν υπάρχει τοπικός διακόπτης για αλλαγή. Διαβάστε το αρχείο καταγραφής του πελάτη για διαδρομές και γραμμές πολιτικής που σπρώχτηκαν, αντί να ελέγχετε ξανά τον ίδιο διάλογο.

Στη συνέχεια κοιτάξτε την επίλυση ονομάτων, που είναι ξεχωριστός διακόπτης από τη δρομολόγηση. Μια διαχωρισμένη σήραγγα μπορεί ακόμη να λάβει εσωτερικό resolver και κατάληξη αναζήτησης, οπότε μια τοπική συσκευή είναι προσβάσιμη με διεύθυνση και μη ανιχνεύσιμη με όνομα μέχρι να διορθωθεί και η πλευρά DNS.

Οι επικαλύψεις είναι διαφορετικό πρόβλημα

Αν το LAN του σπιτιού και το LAN του γραφείου μοιράζονται ένα πρόθεμα όπως 192.168.0.0/24, καμία διαδρομή δεν μπορεί να τα ξεχωρίσει. Κάθε πακέτο για αυτό το εύρος έχει ένα αποτέλεσμα αναζήτησης, και η διόρθωση είναι να επαναριθμήσετε μια πλευρά ή να φτάσετε στο γραφείο μέσω μεταφρασμένης διεύθυνσης από τη δεξαμενή. Το να προσθέσετε πιο ειδικές διαδρομές μετακινεί μόνο ποιο μισό του δικτύου σπάει.

Τελειώστε με έναν έλεγχο αντί για πέντε: συνδεθείτε και μετά τρέξτε tracert προς έναν εσωτερικό και έναν δημόσιο κεντρικό υπολογιστή. Το πρώτο άλμα πρέπει να διαφέρει, και αν δεν διαφέρει, ο διαχωρισμός δεν είναι σε ισχύ ανεξάρτητα από το τι αναφέρει ο πελάτης. Στη συνέχεια επανασυνδεθείτε μία φορά και επαναλάβετε, γιατί οι διαδρομές που σπρώχνονται επιστρέφουν με κάθε συνεδρία.