Ien host útslute fan de standertrûte fan in Windows-VPN

De laptop ferbynt mei de kantoar-VPN en alles folget dy, ek de webside fan in printer en ien intranet dat allinnich op it lokale netwurk antwurdet. In hânmakke rûte reparearret dat foar in oere, dan falt de ferbining fuort, komt werom, en de útsûndering is fuort. Der is neat mis mei de tunnel: Windows hâldt ien rûtingstabel, en de VPN-adapter skriuwt syn oanpart fan dy tabel by elke ferbining oer. Wat oerlibbet is alles wat bûten de eigen yngongen fan de adapter leit.

Hokker yngong de tunnel oernimt

Skriuw de tabel twa kear del, ien kear mei de tunnel del en ien kear mei him op, en fergelykje de standertrigels. As it profyl it standertprefiks easket, is de yngong fan de adapter de breedste rige yn de tabel, dus moat elke útsûndering smeller wêze as dy. Dat is rekkenjen oer prefikslange en gjin bewearing oer fertrouwen of belied. It fêstiget ek hokker ynterface de útsûndering neame moat.

Skriuw de ynterface-yndeks en de lokale gateway del foardat jo fierder geane, want beide feroarje as de masine him by in oar netwurk jout. De opdrachten hjirûnder lêze se fan de masine en net út it ûnthâld.

route print -4
Find-NetRoute -RemoteIPAddress 198.51.100.30

It twadde opdracht meldt de ynterface en de folgjende hop dy't dat iene adres no brûke soe, wat better is as fjirtich rigen lêze en riede. Fier it foar en nei it ferbinen út en jo hawwe it pear dat it wurdich is om by in feroaringsrecord te foegjen. Beide útkomsten jouwe de nûmers dy't yn de rest fan dizze side brûkt wurde.

In hostrûte wint op spesifisiteit

De oerienkomst fan it langste prefiks beslút de winner, dus in /32 fia de fysike gateway ferslacht de standert fia de tunnel sûnder dat de tunnel oanrekke wurdt. Ferkeer nei dat adres ferlit de lokale ynterface wylst al it oare syn besteande paad hâldt. De tunnel draacht noch hieltyd de standert en hâldt der gewoan mei op de ienige kandidaat foar dat doel te wêzen. Prefikslange is de iennige hevel dy't de tabel biedt, en foar dit wurk is it genôch.

Spesifisiteit slút ek de foar de hân lizzende fluchwei út om in domeinnamme út te sluten, want de tabel ferliket adressen en ien namme kin nei ferskate oplost wurde. Los earst de host op en beslút dan hokker fan syn adressen de útsûndering fertsjinnet.

Foar alles hjirûnder, nim in ferbining oan mei de namme Office, in lokale gateway 10.0.0.1 op ynterface 7, en in doel by 198.51.100.30. Dat binne plakferfangers en gjin standerten, en de opdrachten hjirboppe leverje de wearden dy't jo masine echt brûkt. Hâld dy ferfangingsnotysje by de feroaring sadat de folgjende lêzer de nûmers net kopiearret.

Meitsje dat de rûte de folgjende werferbining oerlibbet

Windows biedt gjin útslutingsynstruksje op in VPN-ferbining, dus moat de útsûndering op de fysike ynterface libje dêr't de adapter him net oerskriuwe sil. De cmdlet dy't der as it antwurd útsjocht docht it tsjinstelde: Add-VpnConnectionRoute ferpleatst in prefiks de tunnel yn, en dat is it spegelgefal wêr't in splitst profyl ien doel drage moat en de rest lokaal litte. Der hjirnei gripe garandearret dat it ferkear dat jo bûten hâlde woene nei binnen giet.

De hânmjittige foarm is ien opdracht. Syn swakte is de netwurkferoaring en net de werferbining.

route -p add 198.51.100.30 mask 255.255.255.255 10.0.0.1 metric 1 if 7

Dat oerlibbet in werstart tankside -p en stjoert ien adres de ynterface 7 út wylst de tunnel al it oare draacht. Ferpleats de laptop nei in oar netwurk en sawol de gateway as de yndeks wurde ferâldere, dus de yngong mislearret stil. Skriuw op wa't him besit en wannear't er fuort moat.

In ferbiningsskript is de steviger ferzje, want it foeget de útsûndering nei elke ferbining opnij ta ynstee fan te hoopjen dat de yngong oerlibbe hat. De twa rigels hjirûnder hearre by wat de tunnel start, net by in oanmeldskript.

rasdial Office
route add 198.51.100.30 mask 255.255.255.255 10.0.0.1 metric 1 if 7

Wat de tunnel ek omheech bringt, is it goede plak foar de twadde rigel, en rasdial komt pas werom nei't de ferbining fêstige is, dus lânet de rûte efter de eigen yngongen fan de adapter. Fier it opnij út nei in ferfanging, want in sliep kin de rûte falle litte en de tunnel omheech litte. As de taak de omkearde is, ien prefiks de tunnel yn triuwe wylst de rest lokaal bliuwt, dan is Add-VpnConnectionRoute it goede ark.

Rûting kin gjin proses kieze

Soms is de eask smeller as in doel: ien programma moat it lokale paad nimme wylst al it oare yn de tunnel bliuwt. Rûting kin dat net útdrukke, want it ferliket adressen en net prosessen. It wurkbere patroan triuwt it probleem de starter yn.

Hâld it profyl fan de standertrûte ôf en start dat iene programma bûn oan it adres fan de lokale ynterface, dan wurdt de útsûndering it startopdracht en hâldt de tunnel wat er al behannele. Der feroaret neat yn de rûtingstabel, en dêrom oerlibbet dit werferbinings. It betsjut ek dat de tunnel de standertrûte net fan it begjin ôf besitte mei, dus is dit in oar ûntwerp en gjin pleister op it foarige.

Syn swakte is operasjoneel en net technysk. It programma moat altyd fia de wrapper starte, en as de bining nei in ferfanging mist, nimt it stil wat paad de tabel ek biedt. Dat is tolereare foar in browser dy't jo bewust iepenje en ûnakseptabel foar alles wat de tunnel nea ferlitte mei.

Ferbinings per brûker losse dit ek net op. Windows kin in ferbining oan in akkount bine wylst de rûtingstabel masinebreed bliuwt, dus in akkountbûne ferbining mei in standertrûte liedt noch hieltyd elk proses op de masine om, ek oare sesjes. De omfang wurdt pas echt as de omfang fan de rûte by it akkount past. Twa minsken dy't ien laptop diele diele dêrom ien tabel, en de twadde erft hokker tunnel de earste ek start is.

Befêstigje dat de útsûndering in werferbining oerlibbe hat

Test de feroaring sa't er mislearje sil: ûntkoppelje, ferbynje opnij, iepenje in nij programma, freegje dan ien adres op dat lokaal bliuwe moat en ien dat de tunnel brûke moat. Fergelykje beide mei Find-NetRoute yn de ferbûne steat.

As it prefiks nei in werferbining yn de tabel mist, libbet it yn it ferkearde objekt en net yn it ferkearde formaat. Ferpleats it nei de fysike ynterface en werhelje de test. Hâld beide opdrachtsútkombsten by it feroaringsrecord, want in momintopname fan de wurkjende steat beantwurdet letter mear fragen as in paragraaf útlis. De folgjende persoan wol witte wat it ferbinen produsearre, net wat jo fan doel wiene dat it produsearre.