Conas a sheiceáil cad a dhéanann VPN ar Windows a ródú i ndáiríre in PowerShell
Ní chruthaíonn tíl VPN nasctha clúdach. Léigh bratach an phróifíl shábháilte, an tábla ródaithe beo agus rialacha NRPT san ord seo.
Cheanglaigh mé an cliant VPN ar ríomhaire glúine le Windows 11, chuaigh an tíl go Connected, osclaíodh comhroinnt comhad inmheánach, agus bhí suíomh poiblí fós ag lódáil go díreach ó Wi-Fi na hoifige. Breathnaíonn an meascán sin cosúil le tollán briste. Is é an t-aschur gnáth ó phróifíl a sheolann cuid den trácht tríd an VPN agus a fhágann an chuid eile ar an adapter fisiceach. Athraíonn tollánú éigeantach an bealach réamhshocraithe is fearr le Windows; ní scriosann sé bealaí níos sainiúla agus ní gheallann sé go stopfaidh an trácht nuair a thiteann an nasc. Seo a leanas an t-ord a leanaim nuair a mhaíonn cliant clúdach: staid an chliaint, próifíl shábháilte, bealaí curtha i bhfeidhm, réiteoir, agus ansin sruthanna fíora.
Tosaigh ag an gcliant, agus ansin stop ag muinín air
Is é an cliant an áit cheart le tosú ach amháin toisc go n-insíonn sé duit cé acu próifíl atá gníomhach. Oscail airíonna an naisc agus tabhair faoi deara ainm cruinn na próifíle, ar cruthaíodh don úsáideoir reatha nó do gach duine ar an meaisín í, agus cé acu adapter a thaispeántar in ncpa.cpl tar éis nascadh. Ar mo ríomhaire glúine tástála bhí ainm na próifíle ar an adapter, rud a d'fhág aschur na mbealach éasca le léamh. Ar mheaisíní eile taispeántar é mar iontráil WAN Miniport agus ní insíonn an t-ainm aon rud duit.
Is é an rud nach féidir leis an gcliant a insint duit ná clúdach. Déanann tíl nasctha cur síos ar staid an tolláin, ní ar fhardal cinn scríbe. Coinníonn cliaint tríú páirtí a gcumraíocht féin freisin, mar sin b'fhéidir nach bhfuil aon bhaint ag an bpróifíl dhúchasach Windows, agus ag gach airí a léifidh tú uaithi, leis an rud a shuiteáil an cliant sin. Má tháinig an VPN trí AnyConnect, OpenVPN GUI, WireGuard nó gníomhaire díoltóra, ní bhíonn feidhm ag na seiceálacha PowerShell thíos den chuid is mó agus ba cheart duit socruithe split-tunnel agus ródaithe an chliaint sin féin a léamh ina ionad.
Léigh an phróifíl shábháilte, ní an tíl
Do phróifíl dhúchasach Windows (IKEv2, L2TP, SSTP nó ceann a bhrúnn MDM) is airí amháin an cinneadh split-tunnel sábháilte:
Get-VpnConnection -Name 'Office' | Select-Object Name, ServerAddress, SplitTunneling, DnsSuffixCuir -AllUserConnection leis nuair a cruthaíodh an phróifíl do gach duine ar an ngléas. Gan é sin léann tú liosta an úsáideora reatha, a d'fhéadfadh a bheith folamh nó iontráil eile a choinneáil le hainm cosúil. Ciallaíonn luach False in SplitTunneling gur sábháladh an phróifíl mar thollán iomlán: suiteálann Windows bealach réamhshocraithe tríd an adapter VPN. Ciallaíonn True split tunnel, agus braitheann clúdach ansin go hiomlán ar na bealaí agus na rialacha réitigh ainmneacha a bhrúnn an phróifíl sin.
Caith leis an luach sin mar chumraíocht, ní mar bhreathnóireacht. Taifeadann sé cad a d'iarr an phróifíl ag am an naisc. Féadfaidh Windows deireadh a chur le bealaí curtha i bhfeidhm atá difriúil, mar gheall ar bhealach níos sainiúla ó chomhéadan eile, socrú beartais nó iontráil fágtha ó nasc roimhe seo, mar sin ní réitíonn an Boole an cheist as féin riamh.
Cuir an luach sábháilte i gcomparáid leis an tábla bealaí curtha i bhfeidhm
Tar éis nascadh, liostaigh na bealaí ar an adapter tolláin in ionad an tábla iomlán a scrollú:
$vpn = Get-NetAdapter | Where-Object InterfaceDescription -match 'VPN|WAN Miniport'
Get-NetRoute -InterfaceIndex $vpn.ifIndex | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.20.4.15 | Select-Object -First 1Is é Find-NetRoute an leath úsáideach. Freagraíonn sé an cheist nach bhfreagraíonn an cliant riamh: don cheann scríbe seo, cén comhéadan agus cén seoladh foinse a úsáidfidh Windows i ndáiríre? Rith é do óstaigh inmheánach, d'óstaigh phoiblí agus do rud ar bith a chreideann tú a bheith ina eisceacht d'aon ghnó. Ba cheart do phróifíl tolláin iomláin comhéadan an tolláin a thaispeáint don seoladh poiblí. Taispeánann próifíl split-tunnel an t-adapter fisiceach ansin de ghnáth agus réitítear réimíreanna inmheánacha don VPN fós.
Míníonn dhá gaiste an chuid is mó de na tuairiscí «ródú an bhealaigh mhícheart». Buaileann an réimír is sainiúla i gcónaí, mar sin buaileann /24 ar an adapter fisiceach bealach réamhshocraithe ar an VPN is cuma cé chomh híseal is atá méadrach an tolláin. Ní réitíonn méadrach ach comhionannas idir bealaí don réimír chéanna. Agus socraítear IPv4 agus IPv6 ar leith: féadfaidh próifíl a chlúdaíonn 0.0.0.0/0 IPv6 a fhágáil ar an nasc áitiúil, rud a fhágann go bhfuil cuma leath-thollánach ar shuíomh dé-stack. Seiceáil Get-NetRoute -AddressFamily IPv6 sula dtagann tú chun críche go bhfuil an tollán ceart.
| What you see | Most likely cause | Check next |
|---|---|---|
| Public traffic leaves the physical adapter while SplitTunneling reads False | A more specific route on that adapter wins over the tunnel default | Find-NetRoute for the exact destination, then look for a /24 or host route on the physical interface |
| Internal name fails, internal IP works | No NRPT rule for that namespace, or a broader rule matches first | Get-DnsClientNrptPolicy and the namespace order |
| A dual-stack site opens directly while IPv4 uses the tunnel | The profile covers only the IPv4 default route | The IPv6 route table on both interfaces |
| Routes look right but one app still goes direct | The app uses its own proxy, or the client keeps a per-app list | The app's proxy settings and the client's application list |
Seiceáil réiteach ainmneacha ar leith leis an NRPT
Cuireann ainmneacha inmheánacha a theipeann agus seoltaí IP inmheánacha ag obair in iúl beartas réiteora, ní ródú. Socraíonn Windows DNS in aghaidh spáis ainm trí thábla beartais réitigh ainmneacha, atá neamhspleách ar an tábla bealaí:
Get-DnsClientNrptPolicy -Effective | Select-Object Namespace, NameServers
Get-DnsClientServerAddress -InterfaceIndex $vpn.ifIndexNuair a mheaitseálann riail *.corp.example, téann fiosrúcháin don spás ainm sin chuig freastalaithe DNS an tolláin fiú má fhanann an cosán sonraí chuig na freastalaithe sin ar an adapter fisiceach i mód split-tunnel. Sin an dearadh, agus sin an fáth nach n-insíonn tástáil bhrabhsálaí a osclaíonn suíomh poiblí aon rud duit faoi ainmneacha inmheánacha. Má liostaíonn an t-adapter na freastalaithe a bhfuil súil leo ach go dtéann cuardaigh áit éigin eile fós, déan comparáid idir ord rialacha NRPT agus seiceáil an meaitseálann spás ainm níos sainiúla ar dtús.
Fíoraigh na sruthanna, agus ansin socraigh cad a d'iarr tú i ndáiríre
Téigh trí chinn scríbe in ord seasta ionas go mbeidh torthaí inchomparáide idir mheaisíní: seoladh poiblí, seoladh inmheánach, ainm inmheánach agus eisceacht d'aon ghnó amháin ar nós printéir áitiúil nó comhghairm físe. Taifead an comhéadan agus an seoladh foinse a thugann Find-NetRoute ar ais do gach ceann. Tar éis aon athrú beartais, athnasc agus déan arís na ceithre sheiceáil chéanna; is é tábla bealaí tar éis athnaisc an t-aon fhianaise gur tháinig an phróifíl nua i bhfeidhm.
Ansin scar ródú ó fhorfheidhmiú. Is fearr le tollánú éigeantach an tollán don trácht clúdaithe agus é suas. Ní lasc mharaithe é. Más é an riachtanas nach bhfágann aon rud an meaisín nuair a thiteann an tollán, caithfidh sé sin teacht ó dhearadh blocála: próifíl balla dóiteáin ceangailte le staid an tolláin, próifíl i gcónaí-ar siúil le scagairí tráchta nó rogha dhúnta-ar-theip an chliaint díoltóra féin. Caithfidh tollánú éigeantach freisin seoladh an fhreastalaí VPN féin a fhágáil inrochtana lasmuigh den tollán, agus is bealach iontaofa é a bhlocáil in ainm «gach rud a fhorfheidhmiú» chun tú féin a chur amach as an nasc atá á fhorfheidhmiú agat.
Sula n-athraíonn tú aon rud, téigh tríd an liosta seo. Cúngaíonn gach mír a theipeann an áit a bhfuil an fíor-fhadhb.
- Ainm agus scóip na próifíle deimhnithe, le
-AllUserConnectionin úsáid do phróifílí ar fud an mheaisín. SplitTunnelingléite agus caithtear leis mar chumraíocht seachas mar chruthúnas clúdaigh.- Bealaí an adapter tolláin liostaithe ar leith do IPv4 agus IPv6.
Find-NetRouterite do cheann scríbe poiblí amháin, ceann inmheánach amháin agus eisceacht amháin.- Rialacha NRPT seiceáilte sula cuireadh an locht ar bhealaí as teip ainm.
- An riachtanas blocála léite arís: ní hionann ródú tosaíochta agus blocáil fhorfheidhmithe.
Baineann an cinneadh tollán iomlán nó split le duine ar bith a shealbhaíonn an phróifíl, agus déanann nótaí ródaithe Microsoft cur síos ar an iompar a chuireann Windows i bhfeidhm nuair a shocraíonn próifíl é. Microsoft: tollánú éigeantach agus split an tagairt a choinním oscailte agus mé ag léamh an aschuir.