Kaksi Windows-VPN:ää samaan aikaan: mikä profiili pitää oletusreitin?

Kytke toinen tunneli ja ensimmäinen hiljenee, vaikka molemmat asiakkaat ilmoittavat edelleen terveestä yhteydestä. Windowsilla on vain yksi oletusreitti annettavana, ja jokainen profiili, joka vaatii sitä, ottaa sen toiselta. Oire näyttää VPN-katkokselta, mutta kyse on kahden profiilin reittikilpailusta. Päätä, minkä tunnelin pitäisi omistaa reitti, ja loput kokoonpanosta seuraa.

Vain yksi merkintä voi olla paras oletus

IPv4-reititystaulu pitää yhtä voittavaa reittiä kohteille, joilla ei ole tarkempaa vastaavuutta. VPN-profiili, joka asentaa oman reitin, korvaa edellisen heti yhdistäessään, ja liikenne, joka ennen meni ensimmäiseen tunneliin, lähtee nyt toisen kautta. Ensimmäinen tunneli pysyy pystyssä; katoaa jokainen paketti, joka olisi käyttänyt sitä yleisiin kohteisiin.

Asiakkaan tilakuvakkeet eivät voi näyttää sitä. Ne ilmoittavat, että tunneli on muodostettu, eivät sitä, mitkä etuliitteet yhä reitittyvät siihen, joten käyttäjä näkee kaksi vihreää kuvaketta ja aikakatkaisun jossakin sovelluksessa. route print -4 -komennon lukeminen vian aikana on valaisevampaa kuin mikään VPN-loki.

Nimien ratkaisu on toinen, riippumaton ristiriita, eikä pelkän reititystaulun korjaaminen ratkaise sitä.

Mitä valintamerkki asentaa ja mitä se poistaa

Asetus on jokaisen VPN-profiilin sovittimen ominaisuuksissa IPv4:n lisäasetuksissa, muotoiltuna oletusyhdyskäytävän käyttämiseksi etäverkossa. Käytössä jokainen yhteys lisää oletusreitin tunnelin kautta ja asettaa kyseisen liitännän yleisen liikenteen jonoon. Pois käytöstä Windows pitää tunnelin oman aliverkon reitin eikä koske taulun muuhun osaan.

Juuri valintamerkin poistamisessa useimmat juuttuvat. Etätoimipaikalla on yleensä useampi kuin yksi etuliite, eikä mikään niistä ole sovittimen aliverkossa, joten tiedostopalvelimet ja hallintaosoitteet lakkaavat vastaamasta. Valintamerkki ei rikkonut tunnelia; se poisti laajan reitin, joka oli kattanut kaiken.

Sekamuotoiset kokoonpanot ovat laillisia ja tavallisia: yritysprofiili pitää valintamerkin täytenä tunnelina, kun taas laboratorioprofiili on jaettu, jotta se ei voi syrjäyttää yrityksen oletusreittiä.

Valitse sen mukaan, mitä kunkin tunnelin on kannettava

Kolme kysymystä ratkaisee järjestelyn. Pitääkö tämän tunnelin kantaa tavallista internettiliikennettä vai vain omassa toimipaikassa olevia osoitteita? Käyttävätkö molemmat toimipaikat erillisiä yksityisiä alueita? Ja jos profiilia hallinnoi työnantaja, saako sen reitityskäyttäytymistä ylipäätään muuttaa?

Jos yhden tunnelin on oltava täysi, se omistaa oletusreitin ja toisen on oltava jaettu. Jos kumpikaan ei tarvitse yleistä internettiliikennettä, poista valintamerkki molemmista ja anna fyysisen sovittimen pitää oletusreitti. Jos alueet menevät päällekkäin, pysähdy: 172.22.0.0/16 ei voi tarkoittaa yhtä konetta yrityksen puolella ja toista laboratorion puolella, eikä mikään valintamerkki ratkaise sitä.

Kirjaa päätös profiilien nimien viereen. Muuten seuraavalla neljänneksellä lisätty kolmas VPN toistaa selvityksen alusta.

Lisää puuttuvat etuliitteet ja testaa tulos

Lisää jokaiselle jaetulle tunnelille etäalueet nimenomaisesti käyttäen kyseisessä sovittimessa näkyvää vastapuolen osoitetta palvelimen julkisen osoitteen sijaan:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

PPP-sovitin käyttää vastapuolen osoitetta seuraavana hyppynä, kun taas TAP-sovitin käyttää yleensä kyseisessä liitännässä näkyvää yhdyskäytävää, joten lue sovittimen tiedot sen sijaan, että kopioit numeron oppaasta. Lisää pysyvä merkintä vasta, kun reitti on osoittautunut oikeaksi, ja poista vanhat pysyvät merkinnät ennen korvaavien lisäämistä. Hallinnoidut asiakkaat voivat asentaa ja suojata omat reittinsä, jolloin profiilin omistajan on tehtävä muutos.

DNS tarvitsee erillisen kierroksen. Molemmat tunnelit voivat työntää ratkaisijoita, ja Windows pitää liitäntäkohtaista luetteloa mieltymysjärjestyksessä, joten toiseen verkkoon kuuluva nimi voi päätyä ensimmäisen verkon ratkaisijalle. Katso, mitä kukin sovitin todella sai, ennen kuin valitset korjauksen:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Verkkotunnuskohtainen nimienratkaisukäytäntö on yleensä parempi kuin maailmanlaajuisen ratkaisijaluettelon korvaaminen, koska koneen jokainen sovellus jakaa tuon luettelon ja sen hiljainen muuttaminen siirtää asiaankuulumattomia hakuja.

Hyväksy kokoonpano neljällä tarkistuksella: yksi resurssi kussakin etäverkossa osoitteella tavoitettuna, nimihaku kummassakin, internetin oletusreitti osoittaa yhä fyysiseen sovittimeen ja etätyöpöytäistunto, joka kestää toisen yhteyden nousemisen.