Egy hoszt kizárása a Windows-os VPN alapértelmezett útvonalából

A laptop csatlakozik az irodai VPN-hez, és minden azt követi, beleértve egy nyomtató weboldalát és egy intranetet, amely csak a helyi hálózaton válaszol. Egy kézzel készített útvonal ezt egy órára rendbe hozza, aztán a kapcsolat megszakad, visszatér, és a kivétel eltűnt. Az alagúttal nincs semmi baj: a Windows egyetlen útvonaltáblát tart, és a VPN-adapter minden kapcsolódáskor újraírja a részesedését ebből a táblából. Az marad meg, ami az adapter saját bejegyzésein kívül él.

Melyik bejegyzést veszi át az alagút

Rögzítse a táblát kétszer, egyszer lekapcsolt alagúttal, egyszer pedig felkapcsolva, és hasonlítsa össze az alapértelmezett sorokat. Amikor a profil igényli az alapértelmezett előtagot, az adapter bejegyzése a tábla legszélesebb sora, tehát minden kivételnek szűkebbnek kell lennie nála. Ez az előtag hosszáról szóló aritmetika, nem pedig a bizalomról vagy a szabályzatról szóló állítás. Azt is meghatározza, melyik interfészt kell megneveznie a kivételnek.

Jegyezze fel az interfész indexét és a helyi átjárót, mielőtt továbblép, mert mindkettő megváltozik, amikor a gép egy másik hálózathoz csatlakozik. Az alábbi parancsok a gépről olvassák ki őket, nem a memóriából.

route print -4
Find-NetRoute -RemoteIPAddress 198.51.100.30

A második parancs azt az interfészt és következő ugrást jelenti, amelyet ez az egy cím most használna, ami jobb, mint negyven sort olvasni és találgatni. Futtassa a csatlakozás előtt és után, és megvan az a pár, amelyet érdemes a változásrekordhoz csatolni. Mindkét kimenet megadja az oldal többi részén használt számokat.

A hosztútvonal a specificitással nyer

A leghosszabb előtag egyezése dönti el a győztest, ezért egy /32 a fizikai átjárón keresztül legyőzi az alagúton átmenő alapértelmezettet anélkül, hogy az alagúthoz hozzányúlna. Az arra a címre menő forgalom a helyi interfészen hagyja el a gépet, miközben minden más megtartja a meglévő útját. Az alagút továbbra is viszi az alapértelmezettet, és egyszerűen megszűnik az egyetlen jelölt lenni arra a célra. Az előtag hossza az egyetlen kar, amelyet a tábla kínál, és ehhez a feladathoz elég.

A specificitás kizárja a domainnév kizárásának kézenfekvő rövidítését is, mert a tábla címeket párosít, és egy név több címre oldódhat fel. Először oldja fel a hosztot, aztán döntse el, melyik címe érdemli a kivételt.

Az alábbiak mindegyikéhez tegyen fel egy Office nevű kapcsolatot, egy helyi átjárót 10.0.0.1 a 7-es interfészen, és egy célt a 198.51.100.30 címen. Ezek helyőrzők, nem alapértelmezések, és a fenti parancsok adják azokat az értékeket, amelyeket a gépe valóban használ. Tartsa ezt a helyettesítési megjegyzést a változás mellett, hogy a következő olvasó ne másolja át a számokat.

Tegye az útvonalat hosszabb életűvé a következő újracsatlakozásnál

A Windows nem kínál kizárási utasítást VPN-kapcsolathoz, ezért a kivételnek a fizikai interfészen kell élnie, ahol az adapter nem írja felül. A parancsmag, amely a válasznak látszik, az ellenkezőjét teszi: Add-VpnConnectionRoute előtagot mozgat az alagútba, ez pedig a tükör eset, amikor a felosztott profilnak egy célt kell vinnie, a többit pedig helyben hagynia. Ha itt ehhez nyúl, az garantálja, hogy a kint tartani kívánt forgalom befelé menjen.

A kézi forma egyetlen parancs. A gyengesége a hálózatváltás, nem az újracsatlakozás.

route -p add 198.51.100.30 mask 255.255.255.255 10.0.0.1 metric 1 if 7

Ez túléli az újraindítást a -p miatt, és egy címet a 7-es interfészen küld ki, miközben az alagút minden mást visz. Vigye a laptopot másik hálózatra, és az átjáró meg az index is elavul, így a bejegyzés csendben meghiúsul. Jegyezze fel, ki birtokolja és mikor kell eltávolítani.

A csatlakozási szkript a robusztusabb változat, mert minden kapcsolat után újra hozzáadja a kivételt, ahelyett hogy abban bízna, hogy a bejegyzés túlélte. Az alábbi két sor abba tartozik, ami elindítja az alagutat, nem egy bejelentkezési szkriptbe.

rasdial Office
route add 198.51.100.30 mask 255.255.255.255 10.0.0.1 metric 1 if 7

Bármi hozza is fel az alagutat, az a helyes hely a második sornak, és a rasdial csak a kapcsolat létrejötte után tér vissza, ezért az útvonal az adapter saját bejegyzései mögé kerül. Futtassa újra egy folytatás után, mert a felfüggesztés ledobhatja az útvonalat, és fent hagyhatja az alagutat. Ha a feladat a fordítottja, egyetlen előtagot tolni az alagútba, míg a többi helyben marad, akkor a Add-VpnConnectionRoute a megfelelő eszköz.

Az útválasztás nem tud folyamatot választani

Néha a követelmény szűkebb egy célnál: egy programnak a helyi utat kell vennie, miközben minden más az alagútban marad. Az útválasztás ezt nem tudja kifejezni, mert címeket párosít, nem folyamatokat. A működőképes minta az indítóba tolja a problémát.

Tartsa a profilt távol az alapértelmezett útvonaltól, és indítsa el azt az egy programot a helyi interfész címéhez kötve, így a kivétel maga lesz az indító parancs, és az alagút megtartja, amit már kezelt. Az útvonaltáblában semmi sem változik, és ezért éli túl az újracsatlakozásokat. Ez azt is jelenti, hogy az alagútnak eleve nem szabad birtokolnia az alapértelmezett útvonalat, tehát ez más tervezés, nem pedig folt az előzőn.

A gyengesége üzemeltetési, nem technikai. A programnak mindig a burkolón keresztül kell indulnia, és ha a kötés egy folytatás után hiányzik, csendben veszi a tábla által kínált bármelyik utat. Ez elviselhető egy böngészőnél, amelyet szándékosan nyit meg, és elfogadhatatlan bármi olyannál, aminek soha nem szabad elhagynia az alagutat.

A felhasználónkénti kapcsolatok sem oldják meg ezt. A Windows egy kapcsolatot fiókhoz köthet, miközben az útvonaltábla gép szintű marad, így a fiókhoz kötött, alapértelmezett útvonalat tartó kapcsolat továbbra is átirányít minden folyamatot a gépen, beleértve más munkameneteket. A hatókör csak akkor válik valódivá, amikor az útvonal hatóköre illeszkedik a fiókhoz. Ezért ketten, akik egy laptopot osztanak meg, egy táblát osztanak meg, és a második örökli azt az alagutat, amelyet az első indított.

Erősítse meg, hogy a kivétel túlélte az újracsatlakozást

Tesztelje a változást úgy, ahogyan meg fog hiúsulni: szakítsa meg, csatlakozzon újra, nyisson friss alkalmazást, majd kérjen egy címet, amelynek helyben kell maradnia, és egyet, amelynek az alagutat kell használnia. Hasonlítsa össze mindkettőt a Find-NetRoute kapcsolódott állapotban.

Ha az előtag az újracsatlakozás után hiányzik a táblából, akkor rossz objektumban él, nem rossz formátumban. Vigye át a fizikai interfészre, és ismételje meg a tesztet. Tartsa mindkét parancs kimenetét a változásrekord mellett, mert a működő állapot pillanatképe később több kérdésre válaszol, mint egy bekezdésnyi magyarázat. A következő ember azt akarja majd tudni, mit hozott létre a csatlakozás, nem pedig azt, hogy mit szándékozott létrehozni.