Kaks Windowsi VPN-i korraga: milline profiil hoiab vaikimisi marsruuti?

Ühendage teine tunnel ja esimene jääb vait, kuigi mõlemad kliendid teatavad endiselt tervest ühendusest. Windowsil on anda ainult üks vaikimisi marsruut ja iga profiil, mis seda nõuab, võtab selle teiselt. Sümptom näeb välja nagu VPN-i katkestus, kuid tegelikult on see marsruudivõistlus kahe profiili vahel. Otsustage, milline tunnel peaks seda marsruuti omama, ja ülejäänud seadistus järgib.

Ainult üks kirje saab olla parim vaikimisi marsruut

IPv4 marsruutimistabel hoiab üht võitvat marsruuti sihtkohtade jaoks, millel pole täpsemat vastet. VPN-profiil, mis paigaldab omaenda marsruudi, asendab eelmise kohe ühendumisel ja liiklus, mis varem sisenes esimesse tunnelisse, väljub nüüd teise kaudu. Esimene tunnel jääb püsti; kaob iga pakett, mis oleks seda üldiste sihtkohtade jaoks kasutanud.

Kliendi olekuikoonid ei suuda seda näidata. Need teatavad, et tunnel loodi, mitte millised eesliited sinna endiselt marsruutuvad, seega näeb kasutaja kahte rohelist ikooni ja rakenduses aegumist. route print -4 lugemine rikke ajal on teavet rikkam kui ükski VPN-i logi.

Nimelahendus on teine, sõltumatu konflikt ja ainult marsruutimistabeli parandamine ei lahenda seda.

Mida märkeruut paigaldab ja mida eemaldab

Valik asub iga VPN-profiili adapteri atribuutides IPv4 täpsemate seadete all ja on sõnastatud kui kaugvõrgus asuva vaikimisi lüüsi kasutamine. Lubatuna lisab iga ühendus tunnelit läbiva vaikimisi marsruudi ja seab selle liidese üldise liikluse järjekorda. Keelatuna hoiab Windows tunnelile enda alavõrgu marsruudi ja jätab ülejäänud tabeli puutumata.

Just märkeruudu eemaldamisel jäävad enamik inimesi kinni. Kaugobjektil on tavaliselt rohkem kui üks eesliide ja ükski neist eesliidetest ei asu adapteri alavõrgus, seega failiserverid ja haldusaadressid lakkavad vastamast. Märkeruut ei rikkunud tunnelit; see eemaldas laia marsruudi, mis oli kõike katnud.

Segased seadistused on õiguspärased ja tavalised: ettevõtte profiil hoiab märkeruutu täieliku tunnelina, samas kui laboriprofiil on jaotatud, et see ei saaks ettevõtte vaikimisi marsruuti välja tõrjuda.

Valige selle järgi, mida iga tunnel peab kandma

Kolm küsimust otsustavad paigutuse. Kas see tunnel peab kandma tavalist internetiliiklust või ainult aadresse oma saidi sees? Kas kaks saiti kasutavad mittelõikuvaid privaatvahemikke? Ja kui profiili haldab tööandja, kas teil on üldse lubatud selle marsruutimiskäitumist muuta?

Kui üks tunnel peab olema täielik, omab see vaikimisi marsruuti ja teine peab olema jaotatud. Kui kumbki ei vaja üldist internetiliiklust, eemaldage märkeruut mõlemalt ja laske füüsilisel adapteril vaikimisi marsruut hoida. Kui vahemikud kattuvad, peatuge: 172.22.0.0/16 ei saa tähendada üht masinat ettevõtte poolel ja teist labori poolel ning ükski märkeruut ei lahenda seda.

Kirjutage otsus profiilide nimede kõrvale. Muidu kordab järgmisel kvartalil lisatud kolmas VPN uurimist algusest peale.

Lisage puuduvad eesliited ja testige tulemust

Lisage iga jaotatud tunneli jaoks kaugvahemikud selgesõnaliselt, kasutades selle adapteri näidatud partneraadressi avaliku serveriaadressi asemel:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

PPP-adapter kasutab järgmise hüppena oma partneraadressi, samas kui TAP-adapter kasutab tavaliselt sellel liidesel näidatud lüüsi, seega lugege adapteri üksikasju, selle asemel et numbrit juhendist kopeerida. Lisage püsiv lipp alles pärast seda, kui marsruut on osutunud õigeks, ja kustutage vanad püsikirjed enne asenduste lisamist. Hallatavad kliendid võivad oma marsruudid ise paigaldada ja kaitsta, sel juhul peab muudatuse tegema profiili omanik.

DNS vajab eraldi läbimist. Mõlemad tunnelid võivad lahendajaid peale suruda ja Windows hoiab liidese kohta eelistusjärjekorraga nimekirja, seega võib teise võrgu nimi minna esimese võrgu lahendajale. Vaadake, mida iga adapter tegelikult sai, enne kui valite paranduse:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Domeenipõhine nimelahenduspoliitika on tavaliselt parem kui üldise lahendajate nimekirja asendamine, sest seda nimekirja jagab iga masinas olev rakendus ja selle vaikne muutmine liigutab seostamata päringuid.

Võtke seadistus vastu nelja kontrolliga: üks ressurs igas kaugvõrgus, mis on aadressiga kättesaadav, nimepäring kummaski, interneti vaikimisi marsruut osutab endiselt füüsilisele adapterile ja kaugtöölaua seanss, mis peab vastu teise ühenduse tõusmisele.