VPN των Windows παίρνει όλη την κίνηση; Αφαιρέστε την προεπιλεγμένη διαδρομή

Συνδέεστε στο VPN του γραφείου και κάθε σελίδα στο πρόγραμμα περιήγησης αρχίζει να περνά από εκείνο το δίκτυο: ο διακομιστής αρχείων είναι γρήγορος, όλα τα άλλα είναι αργά, φιλτραρισμένα ή εξαφανισμένα. Ο πελάτης δεν συμπεριφέρεται λάθος· το προφίλ ζήτησε πλήρη σήραγγα. Ο διακόπτης που το σταματά είναι ένα πλαίσιο ελέγχου σε ένα παράθυρο διαλόγου που η σύγχρονη εφαρμογή Ρυθμίσεις δεν εμφανίζει, και η πύλη έχει ξανά λόγο σε κάθε σύνδεση. Αυτή η περιήγηση ακολουθεί τη σειρά που παρουσιάζει πραγματικά η διεπαφή των Windows και μετά καλύπτει τους ελέγχους που αποτυγχάνουν ακόμη και όταν ο πίνακας δρομολόγησης φαίνεται σωστός.

Ξεκινήστε από τις ιδιότητες του προσαρμογέα, όχι από τις Ρυθμίσεις

Η εφαρμογή Ρυθμίσεις καταγράφει το προφίλ στις Επιλογές δικτύου και internet και μετά στο VPN, αλλά εκθέτει μόνο γενικές επιλογές. Η απόφαση για την προεπιλεγμένη πύλη ζει στον προσαρμογέα. Ανοίξτε την κλασική λίστα προσαρμογέων με Win+R και ncpa.cpl, κάντε δεξί κλικ στη σύνδεση VPN, επιλέξτε Ιδιότητες, επιλέξτε Πρωτόκολλο Internet έκδοση 4, ξανά Ιδιότητες και μετά Για προχωρημένους. Καταργήστε την επιλογή Χρήση προεπιλεγμένης πύλης στο απομακρυσμένο δίκτυο και επιβεβαιώστε την έξοδο από τα τρία παράθυρα.

Συνδεθείτε ξανά πριν από τη δοκιμή, γιατί το πλαίσιο ελέγχου εφαρμόζεται όταν δημιουργείται η σήραγγα και μια υπάρχουσα συνεδρία κρατά τον πίνακα που έχτισε. Αν ο προσαρμογέας λείπει όσο ο πελάτης είναι αποσυνδεδεμένος, συνδεθείτε μία φορά και ανοίξτε ξανά το παράθυρο. Ένας πελάτης κατασκευαστή που εγκαθιστά προσαρμογέα TAP ή Wintun χωρίς σελίδα ιδιοτήτων IPv4 δεν έχει καθόλου αυτό το παράθυρο· για εκείνους η ίδια απόφαση είναι επιλογή διαχωρισμένης σήραγγας στις ρυθμίσεις του ίδιου του πελάτη, και το πλαίσιο ελέγχου του προσαρμογέα είναι το λάθος μέρος για αναζήτηση.

Η ίδια αλλαγή από το PowerShell

Για ένα προφίλ που δημιουργήθηκε στο χώρο αποθήκευσης VPN των Windows, η ρύθμιση μπορεί να γραφτεί ως σενάριο, κάτι που θέλετε αν το μηχάνημα ξαναστήνεται συχνά:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Αυτό το cmdlet φτάνει μόνο σε προφίλ εκείνου του χώρου. Μια σύνδεση που προσέθεσε πελάτης τρίτου μέρους δεν θα εμφανιστεί, και η εντολή αποτυγχάνει με σφάλμα ονόματος που μοιάζει με τυπογραφικό λάθος. Προσέξτε επίσης τι δεν κάνει ο διακόπτης: εμποδίζει τον πελάτη να εγκαταστήσει προεπιλεγμένη διαδρομή, αλλά δεν αφαιρεί διαδρομές που προωθεί η πύλη κατά τη σύνδεση, οπότε η επόμενη ενότητα χρειάζεται ακόμη σε πολλά δίκτυα.

Όταν η πύλη προωθεί ξανά την προεπιλεγμένη διαδρομή

Διαβάστε πρώτα τον πίνακα. Δύο προεπιλεγμένες εγγραφές με διαφορετικές μετρικές σημαίνουν ότι η αλλαγή του προφίλ λειτούργησε και ότι η προωθημένη διαδρομή την αντικατέστησε παρόλα αυτά:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Διαγράψτε την προεπιλεγμένη διαδρομή που ανήκει στη σήραγγα και κρατήστε τη φυσική. Χρησιμοποιήστε το ευρετήριο διεπαφής από την τρίτη εντολή, όχι το ψευδώνυμο του προσαρμογέα, γιατί τα σενάρια που περνούν ψευδώνυμο σπάνε μόλις αλλάξει το εμφανιζόμενο όνομα:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

Η διαγραφή παίρνει μαζί της το γραφείο, οπότε προσθέστε ξανά τα εταιρικά προθέματα μέσω της πύλης της σήραγγας. Αυτή είναι η γραμμή που προσπερνούν οι άνθρωποι, και αυτός είναι ο λόγος που το «το VPN σταμάτησε να λειτουργεί» ακολουθεί μια επιτυχημένη αλλαγή διαχωρισμένης σήραγγας:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Τίποτε από αυτά δεν επιβιώνει μιας νέας σύνδεσης, που είναι έντιμη συμπεριφορά και όχι σφάλμα: ο προσαρμογέας ξαναχτίζεται και ο πελάτης εφαρμόζει ξανά ό,τι συμφώνησαν το προφίλ και η πύλη. Αν η προεπιλεγμένη διαδρομή επανεμφανίζεται κάθε φορά, η πύλη είναι ρυθμισμένη να αρνείται τη διαχωρισμένη σήραγγα και θα συνεχίσει να την προωθεί ή θα ρίξει τη συνεδρία. Αυτή είναι η πολιτική του φορέα του δικτύου, και το αίτημα ανήκει εκεί και όχι σε ένα τοπικό σενάριο που παλεύει μαζί της μία φορά ανά σύνδεση.

Ελέγξτε ξανά DNS, IPv6 και τις μετρικές μετά από μία νέα σύνδεση

Η αφαίρεση μιας προεπιλεγμένης διαδρομής IPv4 δεν αποδεικνύει τίποτε για την άλλη οικογένεια ούτε για την επίλυση ονομάτων. Μια σήραγγα μπορεί να μεταφέρει IPv6 ενώ η προεπιλεγμένη IPv4 μένει τοπική, και μια προωθημένη λίστα διαλυτών μπορεί να κρατά τα εσωτερικά ονόματα σε λειτουργία ενώ τα ερωτήματα που τη χρησιμοποιούν πηγαίνουν από άλλη διαδρομή. Ελέγξτε και τα τρία πριν το θεωρήσετε ολοκληρωμένο:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

Αν η κατάσταση επανέρχεται σε κάθε σύνδεση, μετακινήστε τις εντολές σε ενέργεια ανά σύνδεση αντί να επεξεργάζεστε τον πίνακα με το χέρι: μια προγραμματισμένη εργασία που εκκινεί με το συμβάν σύνδεσης, ή η ρύθμιση διαχωρισμένης σήραγγας του ίδιου του πελάτη όπου υπάρχει. Κρατήστε το ευρετήριο διεπαφής σε μια μεταβλητή και αναζητήστε το κατά την εκτέλεση, αφού μπορεί να αλλάξει όταν προστίθενται ή αφαιρούνται προσαρμογείς.

Αποφασίστε τι εγκαταλείψατε

Η τοπική κίνηση internet δεν επιθεωρείται πλέον ούτε φιλτράρεται από το γραφείο, και ό,τι δημοσιεύεται μόνο μέσω της σήραγγας χρειάζεται τώρα δική του διαδρομή. Κάποιοι οργανισμοί θεωρούν τη διαχωρισμένη σήραγγα παραβίαση πολιτικής, οπότε επιβεβαιώστε το πριν αλλάξετε μια διαχειριζόμενη συσκευή· μια προωθημένη προεπιλογή είναι μερικές φορές ο μηχανισμός επιβολής και όχι ατύχημα. Η τεκμηρίωση του Set-VpnConnection απαριθμεί την παράμετρο διαχωρισμένης σήραγγας και τους τύπους προφίλ στους οποίους εφαρμόζεται.

Στη συνέχεια επαληθεύστε με σταθερή σειρά: ποιος κατέχει την προεπιλεγμένη διαδρομή, η συνηθισμένη περιήγηση, ένας εταιρικός κεντρικός υπολογιστής με διεύθυνση, ένα εσωτερικό όνομα, και τα ίδια τέσσερα μετά από μία μόνο νέα σύνδεση. Αν η περιήγηση λειτουργεί και ο εταιρικός κεντρικός υπολογιστής αποτυγχάνει, λείπει η διαδρομή προθέματος και όχι η προεπιλεγμένη που αφαιρέσατε, και αυτό είναι πολύ φθηνότερο να διορθωθεί από το ξαναχτίσιμο του προφίλ.