Ekskludi unu gastiganton el la defaŭlta vojo de Windows VPN

La tekokomputilo konektiĝas al la ofica VPN kaj ĉio sekvas ĝin, inkluzive la retpaĝon de printilo kaj unu intraneton, kiu respondas nur en la loka reto. Permane farita vojo riparas tion por unu horo, poste la konekto falas, revenas, kaj la escepto malaperis. Nenio misas ĉe la tunelo: Windows tenas unu solan enkursigan tabelon, kaj la VPN-adaptilo reskribas sian parton de tiu tabelo ĉe ĉiu konekto. Kio postvivas estas ĉio, kio loĝas ekster la propraj rikordoj de la adaptilo.

Kiun rikordon la tunelo transprenas

Registru la tabelon dufoje, unufoje kun la tunelo malsupre kaj unufoje kun ĝi supre, kaj komparu la defaŭltajn liniojn. Kiam la profilo postulas la defaŭltan prefikson, la rikordo de la adaptilo estas la plej larĝa vico en la tabelo, do ĉiu escepto devas esti pli mallarĝa ol ĝi. Tio estas aritmetiko pri prefiksa longo, ne aserto pri fido aŭ politiko. Ĝi ankaŭ fiksas, kiun interfacon la escepto devas nomi.

Notu la interfacan indekson kaj la lokan enirejon antaŭ ol daŭrigi, ĉar ambaŭ ŝanĝiĝas kiam la maŝino aliĝas al alia reto. La subaj komandoj legas ilin el la maŝino, ne el la memoro.

route print -4
Find-NetRoute -RemoteIPAddress 198.51.100.30

La dua komando raportas la interfacon kaj la sekvan salteton, kiujn tiu unu adreso uzus nun, kio pli bonas ol legi kvardek vicojn kaj diveni. Rulu ĝin antaŭ kaj post la konekto kaj vi havas la paron indan aldoni al ŝanĝa rikordo. Ambaŭ eligoj liveras la nombrojn uzatajn en la resto de ĉi tiu paĝo.

Gastiganta vojo venkas per specifeco

La plej longa prefiksa kongruo decidas la venkanton, do /32 tra la fizika enirejo venkas la defaŭltan tra la tunelo sen tuŝi la tunelon. Trafiko al tiu adreso eliras la lokan interfacon dum ĉio alia konservas sian ekzistantan vojon. La tunelo ankoraŭ portas la defaŭlton kaj simple ĉesas esti la sola kandidato por tiu celo. Prefiksa longo estas la sola levilo, kiun la tabelo montras, kaj por ĉi tiu tasko ĝi sufiĉas.

Specifeco ankaŭ ekskludas la evidentan mallongigon ekskludi domajnan nomon, ĉar la tabelo kongruas adresojn kaj unu nomo povas solviĝi al pluraj. Solvu la gastiganton unue, poste decidu, kiun el ĝiaj adresoj meritas la escepton.

Por ĉio sube, supozu konekton nomatan Office, lokan enirejon 10.0.0.1 sur interfaco 7, kaj celon ĉe 198.51.100.30. Tiuj estas lokokupiloj, ne defaŭltoj, kaj la supraj komandoj produktas la valorojn, kiujn via maŝino efektive uzas. Konservu tiun anstataŭigan noton kun la ŝanĝo, por ke la sekva leganto ne kopiu la nombrojn.

Igu la vojon postvivi la sekvan rekonekton

Windows ne ofertas iun ekskludan instrukciaĵon ĉe VPN-konekto, do la escepto devas loĝi sur la fizika interfaco, kie la adaptilo ne reskribos ĝin. La cmdlet, kiu aspektas kiel la respondo, faras la malon: Add-VpnConnectionRoute movas prefikson en la tunelon, kaj tio estas la spegula kazo, kie dividita profilo devus porti unu celon kaj lasi la reston loke. Kapti ĝin ĉi tie garantias, ke la trafiko, kiun vi volis teni ekstere, eniras.

La permana formo estas unu komando. Ĝia malforto estas la reta ŝanĝo, ne la rekonekto.

route -p add 198.51.100.30 mask 255.255.255.255 10.0.0.1 metric 1 if 7

Tio postvivas restartigon danke al -p kaj sendas unu adreson el interfaco 7 dum la tunelo portas ĉion alian. Movu la tekokomputilon al alia reto kaj kaj la enirejo kaj la indekso malaktualiĝas, do la rikordo malsukcesas silente. Registru, kiu posedas ĝin kaj kiam ĝi forigindas.

Konekta skripto estas la pli fortika versio, ĉar ĝi realdonas la escepton post ĉiu konekto anstataŭ esperi, ke la rikordo postvivis. La du subaj linioj apartenas al tio, kio startigas la tunelon, ne al ensaluta skripto.

rasdial Office
route add 198.51.100.30 mask 255.255.255.255 10.0.0.1 metric 1 if 7

Kio ajn levos la tunelon, tio estas la ĝusta loko por la dua linio, kaj rasdial revenas nur post kiam la konekto establiĝis, do la vojo surteriĝas malantaŭ la propraj rikordoj de la adaptilo. Rulu ĝin denove post rekomenco, ĉar paŭzo povas faligi la vojon kaj lasi la tunelon supre. Se la tasko estas la inversa, ŝovi unu prefikson en la tunelon dum la resto restas loke, tiam Add-VpnConnectionRoute estas la ĝusta ilo.

Enkursigado ne povas elekti procezon

Foje la postulo estas pli mallarĝa ol celo: unu programo devus preni la lokan vojon dum ĉio alia restas en la tunelo. Enkursigado ne povas esprimi tion, ĉar ĝi kongruas adresojn, ne procezojn. La funkciipova ŝablono puŝas la problemon en la lanĉilon.

Tenu la profilon for de la defaŭlta vojo kaj startigu tiun unu programon ligitan al la adreso de la loka interfaco, tiel la escepto fariĝas la lanĉa komando kaj la tunelo konservas tion, kion ĝi jam pritraktis. Nenio en la enkursiga tabelo ŝanĝiĝas, kaj tial tio postvivas rekonektojn. Ĝi ankaŭ signifas, ke la tunelo ne rajtas posedi la defaŭltan vojon dekomence, do tio estas alia dezajno, ne flikaĵo sur la antaŭa.

Ĝia malforto estas operacia, ne teknika. La programo devas ĉiam starti tra la ĉirkaŭvolvaĵo, kaj se la ligo mankas post rekomenco, ĝi silente prenas kiun ajn vojon la tabelo ofertas. Tio tolerindas por retumilo, kiun vi malfermas intence, kaj neakcepteblas por io ajn, kio neniam rajtas forlasi la tunelon.

Konektoj laŭ uzanto ankaŭ ne solvas tion. Windows povas limigi konekton al konto dum la enkursiga tabelo restas por la tuta maŝino, do konto-limigita konekto tenanta defaŭltan vojon ankoraŭ redirektas ĉiun procezon sur la maŝino, inkluzive aliajn seancojn. La amplekso fariĝas reala nur kiam la voja amplekso kongruas kun la konto. Du homoj kunhavantaj unu tekokomputilon do kunhavas unu tabelon, kaj la dua heredas kiun ajn tunelon la unua startigis.

Konfirmu, ke la escepto postvivis rekonekton

Testu la ŝanĝon tiel, kiel ĝi malsukcesos: malkonektu, rekonektu, malfermu novan aplikaĵon, poste petu unu adreson, kiu devas resti loka, kaj unu, kiu devas uzi la tunelon. Komparu ambaŭ kun Find-NetRoute en la konektita stato.

Se la prefikso mankas en la tabelo post rekonekto, ĝi loĝas en la malĝusta objekto, ne en la malĝusta formato. Movu ĝin sur la fizikan interfacon kaj ripetu la teston. Konservu ambaŭ komandeligojn kun la ŝanĝa rikordo, ĉar fulmsituacio de la funkcianta stato respondas poste al pli da demandoj ol paragrafo de klarigo. La sekva persono volos scii, kion la konektado produktis, ne kion vi intencis, ke ĝi produktu.