Cómo eliminar una ruta obsoleta que dejó una VPN de Windows

Su sesión terminó hace horas, el adaptador ya no está y la ruta sigue en la tabla apuntando a la interfaz 42. Borrar esa fila cuesta un comando; decidir que es la fila correcta cuesta cuatro comprobaciones. Una tabla de rutas se comparte, así que una eliminación amplia quita caminos que otras conexiones siguen usando, incluido el que transporta el túnel. Cada paso de abajo estrecha el objetivo hasta que solo una entrada pueda coincidir.

1. Decida si la entrada está obsoleta o es intencionada

Una entrada que sobrevivió a un reinicio se escribió en algún sitio, y ese sitio suele ser una decisión y no un accidente. El túnel dividido depende de rutas que parecen exactamente restos, y una directiva que empuja un prefijo por el túnel es indistinguible de una entrada obsoleta en un solo listado. Pregunte cuándo apareció la ruta: una que solo existe mientras el túnel está activo pertenece a la configuración del cliente, así que un comando de limpieza es la herramienta equivocada. Elimine una ruta deliberada y la siguiente conexión falla en el paso que nadie vigila.

La ruta del extremo merece su propia advertencia. Cuando un cliente añade una ruta de host al servidor VPN para que los paquetes cifrados lo alcancen por la conexión local, borrar esa ruta hunde el túnel en la siguiente reconexión, y el síntoma se lee como un fallo del servidor. Compare el destino con la dirección a la que se conecta el cliente antes de tocar nada: una única dirección pública que coincida con el servidor VPN es el camino exterior, no basura.

2. Anote los cuatro campos que nombran la entrada

Un prefijo por sí solo no es una identidad, porque dos interfaces pueden tener rutas al mismo destino. Anote el prefijo de destino, el índice de interfaz, el siguiente salto y el almacén de directivas, ya que esos cuatro valores describen exactamente una entrada. Un solo listado se los da todos:

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric

Ordenar por métrica eleva las rutas que la máquina realmente prefiere, y ahí suele sentarse un resto. Compare la entrada mientras el túnel está activo y de nuevo después de que caiga: una ruta que se va con el adaptador era del cliente, y una que se queda la escribió otra cosa. El almacén de directivas es el campo que la gente omite, y es el que explica una reaparición, porque una entrada eliminada del almacén activo vuelve tras la siguiente actualización de directivas. Apunte los cuatro valores antes de ejecutar cualquier cosa que cambie el estado.

3. Previsualice la eliminación y luego elimine una entrada

Remove-NetRoute acepta el mismo prefijo e índice de interfaz que imprimió Get-NetRoute, y tiene un conmutador de previsualización, así que no hay que adivinar nada. Ejecute el par en este orden:

Remove-NetRoute -DestinationPrefix 10.20.0.0/16 -InterfaceIndex 42 -WhatIf
Remove-NetRoute -DestinationPrefix 10.20.0.0/16 -InterfaceIndex 42

La previsualización imprime el objeto que borraría, así que compare prefijo, interfaz y siguiente salto con sus notas antes de soltar el conmutador. Ninguna de las dos líneas llega a una entrada persistente, porque el almacén activo es el valor predeterminado; añada -PolicyStore PersistentStore cuando la ruta que identificó viva ahí, o la eliminación parecerá funcionar y la entrada volverá en la siguiente actualización de directivas. Mantenga una vía de recuperación fuera de banda cuando la sesión sea remota, porque borrar la ruta que transporta su propia conexión la termina. Nunca recurra a un comando que vacíe la tabla.

4. Averigüe qué componente la vuelve a poner

Borrar no es una solución mientras el propietario siga configurado para instalar la ruta. El propietario suele ser uno de tres: el perfil del cliente VPN con su lista de túnel dividido, un script o una tarea programada que añade rutas al iniciar sesión, o una directiva de dominio aplicada a la máquina. Revise primero el perfil, porque se ejecuta en cada conexión:

Get-VpnConnection | Select-Object Name,SplitTunneling,ServerAddress
Get-NetRoute -PolicyStore PersistentStore

Las entradas persistentes son visibles sin conectar nada, así que una ruta que vuelve tras un reinicio sin sesión VPN casi siempre vive en ese almacén o en un script de inicio. Corrija allí al propietario, y la eliminación manual pasa a ser verificación en lugar de tratamiento.

5. Verifique la búsqueda, los vecinos y la nota

Un resultado limpio no es «la ruta se ha ido»; es una búsqueda que ahora elige la interfaz que esperaba. Pregunte a la máquina adónde iría un paquete al prefijo afectado, porque un resto sigue nombrando el índice muerto mientras una respuesta limpia nombra la interfaz en el enlace o la puerta de enlace correcta. Find-NetRoute responde eso para una dirección cada vez:

Find-NetRoute -RemoteIPAddress 10.20.4.7

Luego pruebe un vecino: elija un segundo prefijo que un túnel dividido aún necesite y confirme que su búsqueda no ha cambiado, porque quitar una ruta de más es el error al que invita esta limpieza. Reintente la aplicación que falló originalmente y anote qué componente posee el prefijo ahora. La documentación de Microsoft sobre Get-NetRoute enumera los campos que anotó en el segundo paso. Dentro de seis meses, esa nota es lo que impide diagnosticar dos veces la misma entrada.