Zergatik hiltzen du zure Windows VPNak tokiko inprimagailua eta nola gelditu

Konektatu VPNa eta inprimagailua desagertzen da, NAS partekatzea ez da irekitzen, eta ondoan duzun makinarekiko Remote Desktop saioa denboraz kanpo geratzen da. Ez da ezer hautsi. Bezeroak lehenespenezko bide bat gehitu du eta orain ordenagailuak izenda dezakeen helmuga guztiak dauzka, hiru metrora daudenak barne. Hori da mekanismo osoa, eta horri VPN akatsa deitzeak lerro bakarreko konponketa euskarri-kasu bihurtzen du.

Irakurri bideen taula lehenengo

Edozer aldatu aurretik, hartu IPv4 taula honekin: route print -4 eta gorde irteera. Konektatu, hartu berriro eta konparatu 0.0.0.0 lerroak: lehenespenezko bide aktiboak interfaze bat izendatzen du, eta interfaze hori tunela bada, tokiko inprimaketa eta nabigazioa bulegora bidaltzen dira lehenengo.

Bigarren zutabeko interfaze-zenbakia da bide iraunkor batek geroago erreferentziatu beharko duena, beraz idatzi ezazu tunela aktibo dagoen bitartean. Hori da, halaber, egokitzailea birsortzean aldatzen den balioa, eta horregatik hari ainguratutako bideak isilka iraun dezakete erabilgarritasunaz harago.

Kendu lehenespenezko bidea, hiru eratan

Windows profil integratu batean kontrola kontrol-lauki bat da. Ireki konexioaren propietateak, IPv4, gero Aurreratua, eta garbitu Use default gateway on remote network; Ezarpenak aplikazio berriagoak elkarrizketa bera geruza bat harago ezkutatzen du. Karga handiko komando-leihotik aldaketa bera cmdlet bat da:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

Profil OpenVPN batek beste modu batean egiten du lan, eta horregatik haren jokabideak kontrol-lauki bat espero dutenak nahasten ditu. Bere redirect-gateway def1 zuzentarauak ez du lehenespenezko bidea batere ordezkatzen; erdi-mailako bi bide instalatzen ditu, 0.0.0.0/1 eta 128.0.0.0/1, elkarrekin lehenespenezkoa gainditzen dutenak ezabatu gabe. Jatorrizko lehenespenezkoa bizirik dagoenez, hona bideratutako prefixu bat gehitzeak net_gateway bideratzen du prefixu hori soilik tokiko routerrera. Xehetasun horrek azaltzen du zergatik def1 profilaren konponketa prefixu-bide bat den, inork aurkitzen ez duen kontrol-lauki bat izan beharrean.

Gehitu berriro lanari dagokiona soilik

Lehenespenezko biderik gabe tunelek ez du ezer eramaten, beraz lan-prefixuak espresuki izendatu behar dira. Prefixu bat konexioari lotzen dion cmdlet-a bide iraunkor bat baino seguruagoa da, konexio hori aktibo dagoen bitartean soilik instalatzen delako eta ez delako interfaze-zenbaki baten mende:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Ikusmolde zaharragoak oraindik funtzionatzen du eta oraindik zerrenda guztietan dago: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, tunelaren interfaze-indize eta gateway helbide propioekin. Berrabiarazteetan zehar irauten du, eta hori da kontua eta baita arriskua ere, indizea hurrengo abioan beste zerbaitena izan baitaiteke.

Gainerakoa metrikek erabakitzen dute. Egokitzaile fisikoak zein tunelak prefixu bererako bidea eskatzen badute, metrika txikienak irabazten du, eta tunelaren metrika igotzea bezeroaren aldeko kontrol zilegia da, ez trikimailua.

Zerbitzariak zure ordez erabakitzen duenean

Zure kontrol-laukia alde batera uzten duen bezero batek politika bat obeditzen du normalean. Cisco profilek ezarpen bat dute: Allow Local LAN Access, eta headend batek tunnel-all politika bultza dezake bezeroak nahi lukeena gaindituta; nahitaezko tunel inplementazio batean ez dago tokiko etengailurik aldatzeko. Irakurri bezeroaren erregistroa bultzatutako bide eta politika-lerroen bila, elkarrizketa bera berriz egiaztatu beharrean.

Ondoren begiratu izen-ebazpena, bideratzeaz aparteko etengailua baita. Zatitutako tunel batek barne-resolver bat eta bilaketa-suffix bat jaso ditzake oraindik, beraz tokiko gailu bat helbidez iristekoa da eta izenez aurkiezina DNS aldea ere konpondu arte.

Gainjartzeak beste arazo bat dira

Etxeko LANak eta bulegoko LANak 192.168.0.0/24 bezalako prefixu bat partekatzen badute, inongo bidek ezin ditu bereizi. Barruti horretako pakete bakoitzak bilaketa-emaitza bakarra dauka, eta konponbidea alde bat berriz zenbakitzea da edo bulegora pool-etik itzulitako helbide baten bidez iristea. Bide zehatzagoak gehitzeak sarearen zein erdi hausten den soilik aldatzen du.

Amaitu bost egiaztapen ordez batekin: konektatu eta gero exekutatu tracert barne-host eta host publiko baten aurka. Lehen jauzia desberdina izan behar da, eta hala ez bada, banaketa ez dago martxan, bezeroak zer dioen ere. Gero berriz konektatu behin eta errepikatu, bultzatutako bideak saio bakoitzean itzultzen baitira.