Wêrom’t jo Windows-VPN de pleatslike printer fermoardet en hoe’t jo dat stopje

In foltunnel-klant besit de standertrûte, dus de printer en de NAS hâlde op mei antwurdzjen. Smyt dy rûte fuort en foegje dan de wurkprefiksen ta dy’t jo nedich hawwe.

Ferbin de VPN en de printer ferdwynt, de NAS-dieling hâldt op mei iepenjen, en in Remote Desktop-sesje nei de masine njonken jo rint ôf. Neat is brutsen. De klant hat in standertrûte tafoege en besit no elk bestimming dat de laptop neame kin, ek dy trije meter fierderop. Dat is it hiele meganisme, en it in VPN-fout neame is wat fan in oplossing fan ien rigel in stipegefal makket.

Lês earst de rûtetabel

Foardat jo wat feroarje, meitsje in opname fan de IPv4-tabel mei route print -4 en bewarje de útfier. Ferbin, meitsje wer in opname en fergelykje de rigels 0.0.0.0: de aktive standertrûte neamt in ynterface, en as dy ynterface de tunnel is, wurde pleatslik printsjen en browsen earst nei kantoar stjoerd.

It ynterfacenummer yn de twadde kolom is wat in permaninte rûte letter ferwize moat, dus skriuw it op wylst de tunnel oan is. It is ek de wearde dy’t feroaret as de adapter opnij makke wurdt, en dêrom kinne rûtes dy’t dêroan fêstmakke binne stil har nut oerlibje.

Smyt de standertrûte fuort, op trije manieren

Op in ynboude Windows-profil is de kontrôle in kontrôlefakje. Iepenje de eigenskippen fan de ferbining, IPv4, dan Avansearre, en wiskje Use default gateway on remote network; de nijere app Ynstellings ferstoppet deselde dialooch ien laach djipper. Fan in ferhege opdrachtprompt is deselde feroaring ien cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

In OpenVPN-profil wurket oars, en dêrom ferbjusteret syn gedrach minsken dy’t in kontrôlefakje ferwachtsje. Syn redirect-gateway def1-rjochtline ferfangt de standertrûte hielendal net; it ynstallearret twa heale-berik-rûtes, 0.0.0.0/1 en 128.0.0.0/1, dy’t tegearre de standert winne sûnder dy te wiskjen. Om’t de oarspronklike standert oerlibbet, stjoert it tafoegjen fan in prefiks rjochte op net_gateway allinnich dat prefiks werom nei de pleatslike router. Dat detail ferklearret wêrom’t de oplossing foar in def1-profil in prefiksrûte is en net in kontrôlefakje dat nimmen fine kin.

Foegje allinnich werom wat by it wurk heart

Mei de standertrûte fuort draacht de tunnel neat, dus de wurkprefiksen moatte eksplisyt neamd wurde. De cmdlet dy’t in prefiks oan de ferbining bindt is feiliger as in permaninte rûte, om’t it allinnich ynstallearre wurdt wylst dy ferbining oan is en net fan in ynterfacenummer ôfhinget:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

De âldere oanpak wurket noch en stiet noch yn elke checklist: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, mei de eigen ynterface-yndeks en gateway-adres fan de tunnel. It bliuwt oer werstarts, dat is it punt en ek it gefaar, om’t de yndeks by de folgjende start by wat oars hearre kin.

Metriken beslisse de rest. As sawol de fysike as de tunneladapter in rûte foar itselde prefiks easkje, wint de legere metryk, en it ferheegjen fan de metryk fan de tunnel is in legitime kontrôle oan de klantkant en gjin hack.

As de server foar jo beslút

In klant dy’t jo kontrôlefakje negearret folget meastentiids in belied. Cisco-profylen drage in ynstelling Allow Local LAN Access, en in headend kin in tunnel-all-belied efterlûke dat oerskriuwt wat de klant ek foar kieze soe; by in ferplichte tunnel is d’r gjin pleatslike skeakel om te feroarjen. Lês it klantlog foar rûtes en beliedsregels dy’t de server trochstjoert, ynstee fan deselde dialooch wer te kontrolearjen.

Sjoch dan nei namme-oplossing, dat is in aparte skeakel fan routen. In splitstunnel kin noch altyd in ynterne resolver en in sykstafix krije, dus in pleatslik apparaat is berikber op adres en net te finen op namme oant de DNS-kant ek reparearre is.

Oerlaap is in oar probleem

As it thús-LAN en it kantoar-LAN in prefiks diele lykas 192.168.0.0/24, kin gjin inkelde rûte se útinoar hâlde. Elk pakket foar dat berik hat ien sykresultaat, en de oplossing is in kant opnij nûmerje of it kantoar berikke fia in oerset adres út de pool. Mear spesifike rûtes tafoegje ferpleatst allinnich hokker helte fan it netwurk brekt.

Einigje mei ien ferifikaasje ynstee fan fiif: ferbin, en rin dan tracert tsjin in ynterne host en in iepenbiere. De earste hop moat ferskille, en as dat net sa is, is de splitsting net yn stee, wat de klant ek rapportearret. Ferbin dan ien kear opnij en werhelje, om’t trochstjoerde rûtes by elke sesje weromkomme.

Relatearre artikelen