Windows VPN preuzima sav promet? Uklonite njegovu zadanu rutu

Povežete se na uredski VPN i svaka stranica u pregledniku počne ići kroz tu mrežu: datotečni poslužitelj je brz, sve ostalo je sporo, filtrirano ili nestalo. Klijent se ne ponaša pogrešno; profil je tražio puni tunel. Prekidač koji to zaustavlja jedan je potvrdni okvir u dijalogu koji moderni program Postavke ne prikazuje, a pristupnik opet ima riječ pri svakom povezivanju. Ovaj vodič slijedi redoslijed koji Windows sučelje zaista prikazuje, a zatim pokriva provjere koje i dalje padaju nakon što tablica ruta izgleda ispravno.

Počnite u svojstvima adaptera, ne u Postavkama

Program Postavke navodi profil pod Mreža i internet, pa VPN, ali prikazuje samo općenite mogućnosti. Odluka o zadanom pristupniku živi na adapteru. Otvorite klasični popis adaptera pomoću Win+R i ncpa.cpl, desnim klikom otvorite VPN vezu, odaberite Svojstva, odaberite Internet protokol verzija 4, ponovno Svojstva, pa Napredno. Odznačite Koristi zadani pristupnik na udaljenoj mreži i potvrdite izlaz iz sva tri dijaloga.

Ponovno se povežite prije testiranja, jer se potvrdni okvir primjenjuje kada se tunel uspostavi, a postojeća sesija zadržava tablicu koju je izgradila. Ako adapter nedostaje dok je klijent isključen, povežite se jednom i ponovo otvorite prozor. Klijent dobavljača koji instalira TAP ili Wintun adapter bez stranice svojstava IPv4 uopće nema ovaj dijalog; za njih je ista odluka opcija podijeljenog tunela unutar klijentovih postavki, a potvrdni okvir adaptera je pogrešno mjesto za traženje.

Ista promjena iz PowerShella

Za profil stvoren u Windows VPN spremištu, postavka je skriptabilna, što je ono što želite ako se računalo često obnavlja:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Ta naredba doseže samo profile u tom spremištu. Veza koju doda klijent treće strane neće se pojaviti, a naredba pada s greškom u nazivu koja izgleda kao tipfeler. Obratite pažnju i na ono što prekidač ne radi: sprječava klijent da instalira zadanu rutu, ali ne uklanja rute koje pristupnik gura pri povezivanju, pa je sljedeći odjeljak na mnogim mrežama još uvijek potreban.

Kada pristupnik ponovno gurne zadanu rutu

Najprije pročitajte tablicu. Dva zadana unosa s različitim metrikama znače da je promjena profila uspjela i da ju je gurnuta ruta ipak zamijenila:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Izbrišite zadanu rutu koja pripada tunelu i zadržite fizičku. Koristite indeks sučelja iz treće naredbe, ne alias adaptera, jer skripte koje prosljeđuju alias pucaju čim se promijeni prikazni naziv:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

Brisanje nosi ured sa sobom, pa dodajte korporativne prefikse natrag kroz pristupnik tunela. To je redak koji ljudi preskaču i to je razlog zašto «VPN je prestao raditi» slijedi uspješnu promjenu podijeljenog tunela:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Ništa od ovoga ne preživi ponovno povezivanje, što je iskreno ponašanje, a ne greška: adapter se ponovno gradi i klijent ponovo primjenjuje ono o čemu su se profil i pristupnik dogovorili. Ako se zadana ruta vraća svaki put, pristupnik je konfiguriran da odbija podijeljeni tunel i nastavit će ju gurati ili će prekinuti sesiju. To je politika operatera mreže i zahtjev pripada tamo, a ne lokalnoj skripti koja se s njom bori jednom po povezivanju.

Ponovo provjerite DNS, IPv6 i metrike nakon jednog ponovnog povezivanja

Uklanjanje IPv4 zadane rute ništa ne dokazuje o drugoj obitelji ni o razrješavanju naziva. Tunel može nositi IPv6 dok IPv4 zadana ostaje lokalna, a gurnuti popis razrješivača može održavati interne nazive radnima dok upiti koji ga koriste idu drugim putem. Provjerite sve tri prije nego što to proglasite gotovim:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

Ako se stanje vraća pri svakom povezivanju, premjestite naredbe u radnju pri povezivanju umjesto ručnog uređivanja tablice: zakazani zadatak pokrenut na događaju veze ili klijentova vlastita postavka podijeljenog tunela gdje postoji. Držite indeks sučelja u varijabli i potražite ga u vrijeme izvršavanja, jer se može promijeniti kada se adapteri dodaju ili uklone.

Odlučite čega ste se odrekli

Lokalni internetski promet više ne pregledava ni filtrira ured, a sve što se objavljuje samo kroz tunel sada treba vlastitu rutu. Neke organizacije podijeljeni tunel smatraju kršenjem politike, pa to potvrdite prije promjene upravljanog uređaja; gurnuta zadana ruta ponekad je mehanizam provedbe, a ne slučajnost. Dokumentacija Set-VpnConnection navodi parametar podijeljenog tunela i vrste profila na koje se primjenjuje.

Zatim provjerite u fiksnom redu: kome pripada zadana ruta, obično pregledanje, jedan korporativni host po adresi, jedan interni naziv i ista četiri nakon jednog ponovnog povezivanja. Ako pregledanje radi, a korporativni host pada, nedostaje prefiksna ruta, a ne zadana koju ste uklonili, i to je mnogo jeftinije popraviti nego ponovno graditi profil.