Dos VPN de Windows a la vez: ¿qué perfil conserva la ruta predeterminada?

Conecte el segundo túnel y el primero se queda callado, mientras ambos clientes siguen informando de una conexión sana. Windows solo tiene una ruta predeterminada que dar, y cada perfil que la reclama se la quita al otro. El síntoma parece una caída de la VPN, pero es una disputa de enrutamiento entre dos perfiles. Decida qué túnel debe poseer esa ruta y el resto de la configuración le sigue.

Solo una entrada puede ser la mejor ruta predeterminada

La tabla de enrutamiento IPv4 guarda una única ruta ganadora para destinos que no tienen una coincidencia más específica. Un perfil de VPN que instala la suya reemplaza la anterior en cuanto se conecta, y el tráfico que antes entraba por el primer túnel sale ahora por el segundo. El primer túnel sigue activo; lo que desaparece es cualquier paquete que lo hubiera usado para destinos generales.

Los iconos de estado del cliente no pueden mostrarlo. Informan de que se estableció un túnel, no de qué prefijos siguen enrutándose hacia él, así que el usuario ve dos iconos verdes y un tiempo de espera en una aplicación. Leer route print -4 durante el fallo es más informativo que cualquier registro de la VPN.

La resolución de nombres es un segundo conflicto independiente, y arreglar solo la tabla de enrutamiento no lo resolverá.

Qué instala la casilla y qué elimina

La opción está en las propiedades del adaptador de cada perfil de VPN, dentro de la configuración avanzada de IPv4, formulada como usar la puerta de enlace predeterminada en la red remota. Activada, cada conexión añade una ruta predeterminada por el túnel y pone esa interfaz en la cola del tráfico general. Desactivada, Windows conserva la ruta para la subred propia del túnel y deja el resto de la tabla en paz.

Es al desmarcarla donde la mayoría se atasca. El sitio remoto suele tener más de un prefijo, y ninguno de esos prefijos está dentro de la subred del adaptador, así que los servidores de archivos y las direcciones de gestión dejan de responder. La casilla no rompió el túnel; eliminó la ruta amplia que lo cubría todo.

Las configuraciones mixtas son legítimas y frecuentes: un perfil corporativo mantiene la casilla como túnel completo, mientras que un perfil de laboratorio va dividido para que no pueda desplazar la ruta predeterminada corporativa.

Elija según lo que deba transportar cada túnel

Tres preguntas deciden la disposición. ¿Este túnel debe transportar tráfico de internet normal o solo direcciones dentro de su propio sitio? ¿Usan los dos sitios rangos privados disjuntos? Y si el perfil lo gestiona un empleador, ¿se le permite cambiar su comportamiento de enrutamiento?

Si un túnel debe ser completo, posee la ruta predeterminada y el otro debe ir dividido. Si ninguno necesita tráfico general de internet, desmarque la casilla en ambos y deje que el adaptador físico conserve la ruta predeterminada. Si los rangos se solapan, deténgase: 172.22.0.0/16 no puede significar una máquina en el lado corporativo y otra en el lado del laboratorio, y ninguna casilla lo resuelve.

Anote la decisión junto a los nombres de los perfiles. De lo contrario, una tercera VPN añadida el próximo trimestre repetirá la investigación desde el principio.

Añada los prefijos que faltan y pruebe el resultado

Para cada túnel dividido, añada los rangos remotos de forma explícita, usando la dirección de par que muestra ese adaptador en lugar de la dirección pública del servidor:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

Un adaptador PPP usa su dirección de par como siguiente salto, mientras que un adaptador TAP suele usar la puerta de enlace que muestra esa interfaz, así que lea los detalles del adaptador en lugar de copiar un número de una guía. Añada el indicador persistente solo después de que la ruta haya demostrado ser correcta, y borre las entradas persistentes antiguas antes de añadir reemplazos. Los clientes gestionados pueden instalar y proteger sus propias rutas, y en ese caso el propietario del perfil tiene que hacer el cambio.

El DNS necesita una pasada aparte. Ambos túneles pueden empujar resolutores, y Windows mantiene una lista por interfaz con un orden de preferencia, así que un nombre de la segunda red puede acabar en el resolutor de la primera. Mire qué recibió realmente cada adaptador antes de elegir una solución:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Una política de resolución de nombres por dominio suele ser mejor que sustituir la lista global de resolutores, porque esa lista la comparte cada aplicación de la máquina y cambiarla en silencio mueve búsquedas no relacionadas.

Acepte la configuración con cuatro comprobaciones: un recurso en cada red remota alcanzable por dirección, una consulta de nombre en cada una, la ruta predeterminada de internet aún apuntando al adaptador físico y una sesión de escritorio remoto que sobrevive a que se levante la segunda conexión.