המדפסת לא מקוונת כשמתחברים ל-VPN? בדקו את טבלת הניתוב

המחשב הנייד שלכם מצטרף ל-VPN הארגוני והמדפסת שנמצאת שני מטרים משם מפסיקה להגיב. במדפסת לא השתנה דבר, והרשת המקומית לא נפלה. מה שהשתנה הוא טבלת הניתוב: למתאם המנהרה יש כעת נתיב שמכסה את כתובת המדפסת, ולכן החבילות האלה יוצאות דרך ה-VPN ומגיעות לנתב שאין לו מושג היכן נמצאת הרשת השטוחה שלכם. עברו על ארבע הבדיקות שלהלן לפי הסדר, ועצרו בראשונה שנכשלת.

שלב ראשון: הוכיחו שהמדפסת עדיין נגישה ברשת המקומית

לפני שאתם נוגעים בניתוב, ודאו שהמכשיר חי למשהו שאינו משתמש ב-VPN. בקשו מטלפון באותה רשת Wi-Fi לפתוח את דף האינטרנט של המדפסת, או שלחו ping לכתובת ממכונה אחרת ברשת השטוחה. אם המדפסת לא מגיבה גם שם, ה-VPN הוא מקרה בלבד והאשמה במדפסת, בשיוך ה-Wi-Fi שלה או בבידוד לקוחות בנקודת הגישה.

אם היא מגיבה בכל מקום חוץ מהמחשב הנייד הזה, יש לכם בעיית ניתוב או פתרון שמות שמתגוררת במחשב הנייד, והשלב הבא יגיד לכם איזו מהשתיים.

שלב שני: מצאו את הנתיב ש-Windows באמת בוחר

אל תקראו את הטבלה מלמעלה למטה ואל תנחשו. שאלו את Windows איזו רשומה הוא בוחר לכתובת המדויקת שמעניינת אתכם, וקבלו באותו זמן את אינדקס הממשק.

Find-NetRoute -RemoteIPAddress 192.168.1.50
route print -4
tracert -d 192.168.1.50

Find-NetRoute מדפיס את הנתיב המנצח ואת הממשק שלו, ואלה שתי העובדות שכל השאר תלוי בהן. route print -4 מציג את הרשומות השכנות, כולל שתי חצאי ברירת המחדל שמתקינים לקוחות מנהרה מלאה: 0.0.0.0/1 ו-128.0.0.0/1, שכאשר יחד מכסים את כל מרחב IPv4 בלי להחליף אף פעם את 0.0.0.0/0. ‏/1 ארוך יותר מ-/0, אבל 192.168.1.0/24 שלכם ארוך עוד יותר, ולכן נתיב LAN חסר חשוב יותר מהתביעה של המנהרה עצמה.

שני כללים קובעים את התשובה. הקידומת התואמת הארוכה ביותר מנצחת ראשונה, ובין רשומות עם אותה קידומת מנצחת המדד הכולל הנמוך יותר, כשהכולל משלב את מדד הנתיב ואת מדד הממשק. אם הממשק שנבחר הוא המנהרה, המשיכו. אם זה המתאם הפיזי והתעבורה עדיין נכשלת, עצרו כאן: הבעיה שלכם היא פתרון שמות או רשימת הגישה של המדפסת עצמה, לא נתיב ה-VPN.

שלב שלישי: הוסיפו את הנתיב הצר ביותר שמציין שער וממשק

התיקון הוא רשומה אחת שמפנה את כתובת המדפסת לנתב המקומי במתאם המקומי. הריצו אותה בשורת פקודה מוגברת והחליפו את הערכים שקראתם זה עתה.

route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 if 12 -p

הערך של if הוא אינדקס הממשק של המתאם הפיזי. השמטתו היא הסיבה הנפוצה ביותר לכך שהפקודה נראית מוצלחת ולא משנה דבר, כי כשיש שני מתאמים שיכולים להגיע לאותו צעד הבא, Windows חופשי לבחור את זה שלא רציתם. הדגל -p הופך את הרשומה לקבועה, כך שהיא שורדת אתחול במקום למות עם ההפעלה.

העדיפו נתיב מארח למכשיר הבודד על פני נתיב לכל ה-192.168.1.0/24. נתיב תת-רשת רחב יותר ממה שהמשימה צריכה, והוא מתנגש ברגע שהצד הארגוני גם משתמש באותה קידומת: לקידומת אחת יש אז שני בעלים, ומי מהרשומות מנצח הוא שקובע לאיזו רשת באמת תוכלו להגיע.

בכיוון ההפוך, אם מחקתם את אפשרות שער ברירת המחדל בחיבור ה-VPN כדי להגן על הרשת המקומית, גם הקידומות הפרטיות המרוחקות מפסיקות להיפתר. הוסיפו להן נתיבים דרך ממשק ה-VPN באותו אופן, אחרת המנהרה הופכת לחוליה שלא נושאת דבר.

שלב רביעי: דאגו שהחריג ישרוד את החיבור הבא

לקוחות ארגוניים רבים מתקינים מחדש את כל מערך הנתיבים בכל חיבור ומחשבים מחדש את מדדי הממשק תוך כדי, כך שנתיב שעבד אתמול יכול להיות מוכרע היום. אחרי התחברות מחדש, חזרו על Find-NetRoute עבור המדפסת ובדקו שהממשק עדיין תואם למתאם הפיזי. אם הרשומה נעלמה, משהו מוחק אותה; נתיב קבוע לא מגן עליכם מפני סוכן שמטאטא את הטבלה. משימות מתוזמנות שמוסיפות את הנתיב מחדש אחרי שה-VPN מתחבר הן הפתרון הרגיל, והן גם הפתרון שנשבר כשהאינדקס של המתאם משתנה אחרי עגינה או עדכון מנהל התקן.

עקבו אחרי IPv6 בנפרד. לקוח שתובע רק את ברירת המחדל של IPv4 יכול להשאיר את נתיב ברירת המחדל של IPv6 על המתאם הפיזי, כך שמדפסת נגישה דרך IPv6 ממשיכה לעבוד בזמן ש-IPv4 נכשל, או להפך. בדקו עם ping -4 ו-ping -6 לפני שתחליטו שטבלת הניתוב חפה מפשע.

מה עולה לכם הקיצור המקומי

כל נתיב שעוקף את המנהרה הוא חור בהבטחה של המנהרה. התעבורה לכתובת הזו כבר לא עוברת דרך השער הארגוני, כלומר בלי בדיקה, בלי תיעוד ובלי אכיפת מדיניות עליה. במכשיר מנוהל זה יכול להיות בעיית תאימות ולא העדפה, אז שאלו אם קיים חריג מנהרה מפוצלת רשמי לפני שאתם מוסיפים אחד ביד. החזיקו את שלכם צר כמו המשימה וקצר כמו שהמצב מאפשר.

אם המדפסת מגיבה אחרי השינוי, חזרו על ארבע הבדיקות אחרי ההתחברות מחדש הבאה שלכם במקום להניח שהתיקון החזיק. אם היא לא מגיבה, תפסו את הפלט של Find-NetRoute לפני החיבור ואחריו; ההבדל יגיד לכם אם הלקוח מחק את הרשומה או רק דירג אותה מחדש.