Deux VPN Windows en même temps : quel profil garde la route par défaut ?

Branchez le second tunnel et le premier se tait, alors que les deux clients signalent toujours une connexion saine. Windows n’a qu’une seule route par défaut à donner, et chaque profil qui la revendique la prend à l’autre. Le symptôme ressemble à une panne de VPN, mais c’est une lutte de routage entre deux profils. Décidez quel tunnel doit posséder cette route, et le reste de la configuration suit.

Une seule entrée peut être la meilleure route par défaut

La table de routage IPv4 ne retient qu’une seule route gagnante pour les destinations sans correspondance plus spécifique. Un profil VPN qui installe la sienne remplace la précédente dès qu’il se connecte, et le trafic qui entrait dans le premier tunnel sort désormais par le second. Le premier tunnel reste actif ; ce qui disparaît, c’est tout paquet qui l’aurait utilisé pour des destinations générales.

Les icônes d’état du client ne peuvent pas le montrer. Elles indiquent qu’un tunnel a été établi, pas quels préfixes y sont encore routés, si bien que l’utilisateur voit deux icônes vertes et un délai d’attente dans une application. Lire route print -4 pendant la panne est plus instructif que n’importe quel journal VPN.

La résolution de noms est un second conflit, indépendant, et corriger la seule table de routage ne le réglera pas.

Ce que la case installe, et ce qu’elle retire

L’option se trouve dans les propriétés de la carte de chaque profil VPN, sous les paramètres IPv4 avancés, formulée comme l’utilisation de la passerelle par défaut sur le réseau distant. Activée, chaque connexion ajoute une route par défaut via le tunnel et place cette interface dans la file du trafic général. Désactivée, Windows conserve la route de la sous-réseau propre au tunnel et laisse le reste de la table tranquille.

C’est en la décochant que la plupart des gens se bloquent. Le site distant possède généralement plus d’un préfixe, et aucun de ces préfixes ne se trouve dans le sous-réseau de la carte, si bien que les serveurs de fichiers et les adresses d’administration cessent de répondre. La case n’a pas cassé le tunnel ; elle a retiré la route large qui couvrait tout.

Les configurations mixtes sont légitimes et courantes : un profil d’entreprise garde la case comme tunnel complet, tandis qu’un profil de laboratoire est scindé pour ne pas déplacer la route par défaut de l’entreprise.

Choisissez selon ce que chaque tunnel doit transporter

Trois questions décident de l’agencement. Ce tunnel doit-il transporter du trafic internet ordinaire, ou seulement des adresses à l’intérieur de son propre site ? Les deux sites utilisent-ils des plages privées disjointes ? Et si le profil est géré par un employeur, êtes-vous autorisé à modifier son comportement de routage ?

Si un tunnel doit être complet, il possède la route par défaut et l’autre doit être scindé. Si aucun n’a besoin de trafic internet général, décochez la case sur les deux et laissez la carte physique garder la route par défaut. Si les plages se chevauchent, arrêtez-vous : 172.22.0.0/16 ne peut pas désigner une machine côté entreprise et une autre côté laboratoire, et aucune case ne règle cela.

Notez la décision à côté des noms de profils. Sinon, un troisième VPN ajouté le trimestre suivant refera l’enquête depuis le début.

Ajoutez les préfixes manquants et testez le résultat

Pour chaque tunnel scindé, ajoutez explicitement les plages distantes, en utilisant l’adresse de pair affichée sur cette carte plutôt que l’adresse publique du serveur :

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

Une carte PPP utilise son adresse de pair comme saut suivant, tandis qu’une carte TAP utilise généralement la passerelle affichée sur cette interface, alors lisez les détails de la carte au lieu de copier un nombre depuis un guide. Ajoutez l’indicateur persistant seulement après que la route s’est révélée correcte, et supprimez les anciennes entrées persistantes avant d’ajouter des remplacements. Les clients gérés peuvent installer et protéger leurs propres routes, auquel cas le propriétaire du profil doit faire la modification.

Le DNS demande un passage séparé. Les deux tunnels peuvent imposer des résolveurs, et Windows tient une liste par interface avec un ordre de préférence, si bien qu’un nom du second réseau peut être envoyé au résolveur du premier. Regardez ce que chaque carte a réellement reçu avant de choisir un correctif :

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Une politique de résolution de noms par domaine est généralement préférable au remplacement de la liste globale des résolveurs, car cette liste est partagée par chaque application de la machine et la modifier en silence déplace des recherches sans rapport.

Acceptez l’installation avec quatre contrôles : une ressource dans chaque réseau distant joignable par adresse, une résolution de nom dans chacun, la route par défaut internet pointant toujours vers la carte physique, et une session de bureau à distance qui survit à la montée de la seconde connexion.