Windowsin VPN vie kaiken liikenteen? Poista sen oletusreitti

Yhdistät toimiston VPN:hen ja jokainen selaimen sivu alkaa kulkea sen verkon kautta: tiedostopalvelin on nopea, kaikki muu on hidasta, suodatettua tai poissa. Asiakasohjelma ei toimi väärin; profiili pyysi täyttä tunnelia. Sen pysäyttävä kytkin on yksi valintaruutu valintaikkunassa, jota nykyaikainen Asetukset-sovellus ei näytä, ja yhdyskäytävä saa jälleen sanansa joka yhteydellä. Tämä läpikäynti noudattaa järjestystä, jonka Windowsin käyttöliittymä todella esittää, ja käsittelee sitten tarkistukset, jotka yhä epäonnistuvat, kun reititystaulu näyttää oikealta.

Aloita sovittimen ominaisuuksista, älä Asetuksista

Asetukset-sovellus luettelee profiilin kohdassa Verkko ja Internet ja sitten VPN, mutta näyttää vain yleiset asetukset. Oletusyhdyskäytävää koskeva päätös asuu sovittimessa. Avaa perinteinen sovitinluettelo komennoilla Win+R ja ncpa.cpl, napsauta VPN-yhteyttä hiiren oikealla, valitse Ominaisuudet, valitse Internet-protokolla versio 4, valitse uudelleen Ominaisuudet ja sitten Lisäasetukset. Poista valinta kohdasta Käytä oletusyhdyskäytävää etäverkossa ja vahvista poistuminen kaikista kolmesta valintaikkunasta.

Yhdistä uudelleen ennen testaamista, koska valintaruutu otetaan käyttöön tunnelia muodostettaessa ja olemassa oleva istunto säilyttää taulun, jonka se rakensi. Jos sovitin puuttuu asiakasohjelman ollessa irrotettuna, yhdistä kerran ja avaa ikkuna uudelleen. Toimittajan asiakasohjelmassa, joka asentaa TAP- tai Wintun-sovittimen ilman IPv4-ominaisuussivua, ei ole tätä valintaikkunaa lainkaan; niille sama päätös on jaetun tunnelin asetus asiakasohjelman omissa asetuksissa, ja sovittimen valintaruutu on väärä paikka etsiä.

Sama muutos PowerShellistä

Windowsin VPN-säilöön luodulle profiilille asetus on skriptattavissa, mitä haluat, jos kone asennetaan usein uudelleen:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Tämä cmdlet tavoittaa vain kyseisen säilön profiilit. Kolmannen osapuolen asiakasohjelman lisäämä yhteys ei ilmesty, ja komento epäonnistuu nimivirheeseen, joka näyttää kirjoitusvirheeltä. Huomaa myös, mitä kytkin ei tee: se estää asiakasohjelmaa asentamasta oletusreittiä, mutta ei poista reittejä, joita yhdyskäytävä työntää yhdistämisen aikana, joten seuraava osio tarvitaan yhä monissa verkoissa.

Kun yhdyskäytävä työntää oletuksen takaisin

Lue taulu ensin. Kaksi oletusmerkintää eri mittareilla tarkoittaa, että profiilin muutos toimi ja työnnetty reitti korvasi sen silti:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Poista tunneliin kuuluva oletusreitti ja pidä fyysinen. Käytä kolmannen komennon liittymän indeksiä, älä sovittimen aliasta, koska aliaksen välittävät skriptit rikkoutuvat heti, kun näyttönimi muuttuu:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

Poisto vie toimiston mukanaan, joten lisää yrityksen etuliitteet takaisin tunnelin yhdyskäytävän kautta. Tämä on rivi, jonka ihmiset ohittavat, ja siksi «VPN lakkasi toimimasta» seuraa onnistunutta jaetun tunnelin muutosta:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Mikään tästä ei selviä uudelleenyhdistämisestä, mikä on rehellistä käytöstä eikä virhe: sovitin rakennetaan uudelleen ja asiakasohjelma soveltaa uudelleen sen, mistä profiili ja yhdyskäytävä sopivat. Jos oletusreitti palaa joka kerta, yhdyskäytävä on määritetty hylkäämään jaettu tunneli ja työntää sitä edelleen tai katkaisee istunnon. Se on verkon operaattorin käytäntö, ja pyyntö kuuluu sinne, ei paikalliseen skriptiin, joka taistelee sitä vastaan kerran yhteyttä kohden.

Tarkista DNS, IPv6 ja mittarit uudelleen yhden uudelleenyhdistämisen jälkeen

IPv4-oletusreitin poistaminen ei todista mitään toisesta perheestä eikä nimien ratkaisemisesta. Tunneli voi kuljettaa IPv6:tta, kun IPv4-oletus jää paikalliseksi, ja työnnetty resolveriluettelo voi pitää sisäiset nimet toimivina, kun sitä käyttävät kyselyt kulkevat toista tietä. Tarkista kaikki kolme ennen kuin kutsut sitä valmiiksi:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

Jos tila palautuu jokaisella yhteydellä, siirrä komennot yhteyskohtaiseen toimintoon sen sijaan, että muokkaisit taulua käsin: yhteysepäivänä käynnistyvä ajoitettu tehtävä tai asiakasohjelman oma jaetun tunnelin asetus, jos sellainen on. Pidä liittymän indeksi muuttujassa ja hae se suoritusaikana, koska se voi muuttua, kun sovittimia lisätään tai poistetaan.

Päätä, mistä luovuit

Toimisto ei enää tarkasta tai suodata paikallista internettiliikennettä, ja kaikki vain tunnelin kautta julkaistava tarvitsee nyt oman reittinsä. Jotkut organisaatiot pitävät jaettua tunnelia käytännön rikkomuksena, joten vahvista se ennen hallitun laitteen muuttamista; työnnetty oletus on joskus valvontamekanismi eikä vahinko. Set-VpnConnectionin dokumentaatio luettelee jaetun tunnelin parametrin ja profiilityypit, joihin se soveltuu.

Vahvista sitten kiinteässä järjestyksessä: kuka omistaa oletusreitin, tavallinen selailu, yksi yrityksen isäntä osoitteella, yksi sisäinen nimi ja samat neljä yhden uudelleenyhdistämisen jälkeen. Jos selailu toimii ja yrityksen isäntä epäonnistuu, puuttuva on etuliitereitti eikä poistamasi oletus, ja sen korjaaminen on paljon halvempaa kuin profiilin uudelleenrakentaminen.