Miks sinu Windowsi VPN tapab kohaliku printeri ja kuidas seda peatada

Ühenda VPN ja printer kaob, NAS-i jagatud kaust ei avane enam ning kõrval oleva masina kaugtöölaua seanss aegub. Miski ei läinud katki. Klient lisas vaikimisi marsruudi ja omab nüüd iga sihtkohta, mille sülearvuti suudab nimetada, sealhulgas neid, mis on kolme meetri kaugusel. See ongi kogu mehhanism, ja selle VPN-veaks nimetamine on see, mis muudab üherealise paranduse tugijuhtumiks.

Loe kõigepealt marsruutitabelit

Enne kui midagi muudad, salvesta IPv4 tabel käsuga route print -4 ja hoia väljund alles. Ühenda, salvesta uuesti ja võrdle ridu 0.0.0.0: aktiivne vaikimisi marsruut nimetab liidest, ja kui see liides on tunnel, saadetakse kohalik printimine ja sirvimine kõigepealt kontorisse.

Teise veeru liidese number on see, millele püsiv marsruut peab hiljem viitama, seega pane see kirja, kui tunnel on üleval. See on ka väärtus, mis muutub adapteri uuesti loomisel, mistõttu selle külge kinnitatud marsruudid võivad vaikselt oma kasulikkusest kauem kesta.

Eemalda vaikimisi marsruut kolmel viisil

Sisseehitatud Windowsi profiilis on juhtelement märkeruut. Ava ühenduse atribuudid, IPv4, seejärel Täpsemalt, ja tühjenda Use default gateway on remote network; uuem rakendus Sätted peidab sama dialoogi ühe kihi võrra sügavamal. Kõrgendatud käsuviibalt on sama muudatus üks cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

Üks OpenVPN profiil töötab teisiti, mistõttu selle käitumine ajab segadusse inimesi, kes ootavad märkeruutu. Selle redirect-gateway def1 direktiiv ei asenda vaikimisi marsruuti üldse; see paigaldab kaks poole ulatusega marsruuti, 0.0.0.0/1 ja 128.0.0.0/1, mis koos võidavad vaikimisi marsruudi üle ilma seda kustutamata. Kuna algne vaikimisi marsruut jääb alles, saadab net_gateway-le osutatud prefiksi lisamine lokaalsesse ruuterisse tagasi ainult selle prefiksi. See detail selgitab, miks def1 profiili parandus on prefiksimarsruut, mitte märkeruut, mida keegi ei leia.

Lisa tagasi ainult see, mis kuulub töö juurde

Kui vaikimisi marsruut on kadunud, ei kanna tunnel midagi, seega tuleb tööprefiksid selgesõnaliselt nimetada. Cmdlet, mis seob prefiksi ühendusega, on turvalisem kui püsiv marsruut, sest see paigaldatakse ainult selle ühenduse ajal ega sõltu liidese numbrist:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Vanem lähenemine töötab endiselt ja on endiselt igas kontrollnimekirjas: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, koos tunneli enda liideseindeksi ja lüüsi aadressiga. See püsib üle taaskäivituste, mis ongi mõte ja ka oht, kuna indeks võib järgmisel käivitamisel kuuluda millelegi muule.

Ülejäänu otsustavad mõõdikud. Kui nii füüsiline kui ka tunneliadapter nõuavad sama prefiksi jaoks marsruuti, võidab madalam mõõdik, ja tunneli mõõdiku tõstmine on seaduslik kliendipoolne juhtimine, mitte häkk.

Kui server otsustab sinu eest

Klient, mis sinu märkeruutu eirab, järgib tavaliselt poliitikat. Cisco profiilidel on säte Allow Local LAN Access, ja headend võib lükata peale tunnel-all poliitika, mis tühistab kõik, mida klient eelistaks; kohustusliku tunneli juurutuses ei ole kohalikku lülitit, mida ümber lülitada. Loe kliendi logist peale lükatud marsruute ja poliitikaridu, selle asemel et sama dialoogi uuesti kontrollida.

Seejärel vaata nimelahendust, mis on marsruutimisest eraldi lüliti. Jaotatud tunnel võib ikkagi saada sisemise resolveri ja otsingusufiksi, seega on kohalik seade aadressi järgi kättesaadav ja nime järgi leidmatu, kuni ka DNS-i pool on parandatud.

Kattuvused on teine probleem

Kui kodu-LAN ja kontori-LAN jagavad prefiksit nagu 192.168.0.0/24, ei suuda ükski marsruut neid eristada. Selle vahemiku igal paketil on üks otsingutulemus, ja parandus on ühe poole ümbernummerdamine või kontorisse jõudmine basseinist tõlgitud aadressi kaudu. Täpsemate marsruutide lisamine ainult nihutab, milline pool võrgust katki läheb.

Lõpeta ühe kontrolliga viie asemel: ühenda ja käivita seejärel tracert sisemise ja avaliku hosti vastu. Esimene hüpe peaks erinema, ja kui ei erine, ei ole jaotus paigas, ükskõik mida klient raporteerib. Seejärel ühenda korra uuesti ja korda, sest peale lükatud marsruudid tulevad tagasi iga seansiga.