Nola egiaztatu Windows-eko VPN batek benetan zer bideratzen duen PowerShell-en
Konektatutako VPN fitxak ez du estaldura frogatzen. Irakurri gordetako profilaren bandera, uneko bide-taula eta NRPT arauak ordena honetan.
VPN bezeroa Windows 11 dituen eramangarri batean konektatu nuen, fitxa Connected egoerara pasatu zen, barneko fitxategi partekatze bat ireki zen, eta webgune publiko bat oraindik zuzenean kargatzen zen bulegoko Wi-Fi-tik. Nahasketa horrek tunel hautsia dirudi. Baina hori da trafikoaren zati bat VPN-tik bidaltzen duen eta gainerakoa adapter fisikoan uzten duen profil baten irteera normala. Tunel behartuak aldatu egiten du Windows-ek zein bide lehenetsi nahiago duen; ez ditu bide zehatzagoak ezabatzen eta ez du agintzen konexioa erortzean trafikoa geldituko denik. Jarraian egiten dudan ordena da, bezero batek estaldura dioenean: bezeroaren egoera, gordetako profila, aplikatutako bideak, ebazlea eta gero benetako fluxuak.
Hasi bezeroan, eta gero utzi hari sinesten
Bezeroa abiapuntu egokia da soilik esaten dizulako zein profil dagoen aktibo. Ireki konexioaren propietateak eta idatzi profilaren izen zehatza, uneko erabiltzailearentzat edo makinako guztientzat sortu zen, eta konektatu ondoren zein adapter agertzen den ncpa.cpl-n. Nire probako eramangarrian adapterrak profilaren izena zeraman, eta horrek bideen irteera irakurtzea errazten zuen. Beste makina batzuetan WAN Miniport sarrera gisa agertzen da eta izenak ez dizu ezer esaten.
Bezeroak ezin dizuna esan estaldura da. Konektatutako fitxak tunelaren egoera deskribatzen du, ez helmugen inbentarioa. Hirugarrenen bezeroek beren konfigurazioa ere gordetzen dute, beraz Windows profil natiboa, eta hortik irakurriko duzun propietate bakoitza, agian ez du zerikusirik bezero horrek instalatu zuenarekin. VPN-a AnyConnect, OpenVPN GUI, WireGuard edo hornitzailearen agente baten bidez iritsi bazen, beheko PowerShell egiaztapenak ez dira gehienetan aplikagarri eta bezero horren split-tunnel eta bideratze ezarpenak irakurri beharko zenituzke.
Irakurri gordetako profila, ez fitxa
Windows profil natibo batentzat (IKEv2, L2TP, SSTP edo MDM-k bultzatutakoa) gordetako split-tunnel erabakia propietate bakarra da:
Get-VpnConnection -Name 'Office' | Select-Object Name, ServerAddress, SplitTunneling, DnsSuffixGehitu -AllUserConnection profila gailuko guztientzat sortu zenean. Hori gabe uneko erabiltzailearen zerrenda irakurtzen duzu, hutsik egon daitekeena edo antzeko izena duen beste sarrera bat eduki dezakeena. False balioak SplitTunneling-n esan nahi du profila tunel oso gisa gorde zela: Windows-ek bide lehenetsi bat instalatzen du VPN adapterretik. True split tunnel esan nahi du, eta orduan estaldura erabat profila bultzatzen dituen bideen eta izen-ebazpen arauen mende dago.
Hartu balio hori konfigurazio gisa, ez behaketa gisa. Konektatzean profileak eskatu zuena erregistratzen du. Windows-ek aplikatutako bide desberdinak izan ditzake, beste interfaze baten bide zehatzagoa, politika-ezarpen bat edo aurreko konexio baten hondar sarrera batengatik, beraz boolearrak ez du galdera bere kabuz erabakitzen.
Konparatu gordetako balioa aplikatutako bide-taularekin
Konektatu ondoren, zerrendatu tunel adapterreko bideak taula osoa korritu beharrean:
$vpn = Get-NetAdapter | Where-Object InterfaceDescription -match 'VPN|WAN Miniport'
Get-NetRoute -InterfaceIndex $vpn.ifIndex | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.20.4.15 | Select-Object -First 1Find-NetRoute erdia erabilgarria da. Bezeroak inoiz erantzuten ez duen galderari erantzuten dio: helmuga honetarako, zein interfaze eta zein iturburu helbide erabiliko ditu Windows-ek benetan? Exekutatu barneko ostalari bat, ostalari publiko bat eta nahita egindako salbuespentzat jotzen duzun edozer gara. Tunel osoko profilek tunelaren interfazea erakutsi behar du helbide publikoarentzat. Split-tunnel profilek adapter fisikoa erakusten dute normalean han, barneko aurrizkiak oraindik VPN-ra ebazten diren bitartean.
Bi tranpak azaltzen dituzte «bide okerretik doa» txostenen gehiengoa. Aurrizkirik zehatzenak irabazten du beti, beraz adapter fisikoko /24 batek VPN-ko bide lehenetsia garaitzen du tunelaren metrika zenbat eta baxuagoa izan. Metrikak aurrizki bererako bideen arteko berdinketa soilik hausten du. Eta IPv4 eta IPv6 bereiz erabakitzen dira: 0.0.0.0/0 estaltzen duen profilek IPv6 estekak lokalean utz dezake, eta horrek pila bikoitzeko gune bat erdi-tunelatuta agertarazten du. Egiaztatu Get-NetRoute -AddressFamily IPv6 tunela ondo dagoela ondorioztatu aurretik.
| What you see | Most likely cause | Check next |
|---|---|---|
| Public traffic leaves the physical adapter while SplitTunneling reads False | A more specific route on that adapter wins over the tunnel default | Find-NetRoute for the exact destination, then look for a /24 or host route on the physical interface |
| Internal name fails, internal IP works | No NRPT rule for that namespace, or a broader rule matches first | Get-DnsClientNrptPolicy and the namespace order |
| A dual-stack site opens directly while IPv4 uses the tunnel | The profile covers only the IPv4 default route | The IPv6 route table on both interfaces |
| Routes look right but one app still goes direct | The app uses its own proxy, or the client keeps a per-app list | The app's proxy settings and the client's application list |
Egiaztatu izen-ebazpena bereiz NRPT-rekin
Barneko izenek huts egiten dutenean barneko IP helbideek funtzionatzen badute, ebazlearen politikara seinalatzen dute, ez bideratzera. Windows-ek DNS espazio-izen bakoitzeko erabakitzen du izen-ebazpen politika-taularen bidez, bide-taulatik independentea dena:
Get-DnsClientNrptPolicy -Effective | Select-Object Namespace, NameServers
Get-DnsClientServerAddress -InterfaceIndex $vpn.ifIndexArau bat *.corp.example-rekin bat datorrenean, espazio-izen horretako kontsultak tunelaren DNS zerbitzarietara joaten dira, nahiz eta split-tunnel moduan zerbitzari horietarako datu-bidea adapter fisikoan geratu. Hori da diseinua, eta horregatik webgune publiko bat irekitzen duen nabigatzaile-proba batek ez dizu ezer esaten barneko izenei buruz. Adapterrak espero diren zerbitzariak zerrendatzen baditu baina bilaketak beste nonbaitetara badoaz, konparatu NRPT arauen ordena eta egiaztatu espazio-izen zehatzago bat datorren lehenengo.
Egiaztatu fluxuak, eta gero erabaki benetan zer eskatu zenuen
Joan helmugak ordena finkoan, emaitzak makinen artean alderagarriak izan daitezen: helbide publiko bat, helbide interno bat, barneko izen bat eta nahita egindako salbuespen bat, hala nola tokiko inprimagailua edo bideo-dei bat. Idatzi Find-NetRoute-k bakoitzerako itzultzen duen interfazea eta iturburu helbidea. Politika-aldaketaren ondoren, berriz konektatu eta errepikatu lau egiaztapen berak; berriz konektatu ondorengo bide-taula da profil berria indarrean sartu dela frogatzen duen ebidentzia bakarra.
Gero bereizi bideratzea betearazpenetik. Tunel behartuak tunela lehenesten du estalitako trafikoarentzat, altxatuta dagoen bitartean. Ez da kill switch bat. Baldintza bada tunela erortzean ezerk makinatik irten ez dezala, hori blokeo-diseinu batetik etorri behar da: tunelaren egoerari lotutako suebaki-profila, beti piztuta dagoen profila trafiko-iragazkiekin edo hornitzailearen bezeroaren hutsegitean ixteko aukera propioa. Tunel behartuak VPN zerbitzariaren beraren helbidea tunelaz kanpo irisgarri utzi behar du, eta hori blokeatzea «dena behartzearen» izenean betearazi nahi duzun konexiotik kanpo uzteko modu fidagarria da.
Ezer aldatu aurretik, joan zerrenda honetatik. Huts egiten duen elementu bakoitzak arazo erreala non dagoen murrizten du.
- Profilaren izena eta irismena berretsita,
-AllUserConnectionmakina osorako profiletan erabilita. SplitTunnelingirakurrita eta konfigurazio gisa tratatuta, ez estalduraren froga gisa.- Tunel adapterreko bideak bereiz zerrendatuta IPv4 eta IPv6-rako.
Find-NetRouteexekutatuta helmuga publiko bat, barneko bat eta salbuespen batentzat.- NRPT arauak egiaztatuta bideak izen-hutsegitearen errua leporatu aurretik.
- Blokeo-baldintza berrirakurrita: nahiago den bideratzea ez da betearazitako blokeoa.
Tunel osoa edo split tunela erabakitzea profila duenarena da, eta Microsoft-en bideratze-oharrek deskribatzen dute Windows-ek zer portaera ezartzen duen profileak hala ezartzen duenean. Microsoft: tunel behartua eta split tunela da irteera irakurtzen dudan bitartean zabalik edukitzen dudan erreferentzia.