Két Windows VPN egyszerre: melyik profil tartja meg az alapértelmezett útvonalat?

Csatlakoztassa a második alagutat, és az első elhallgat, miközben mindkét kliens továbbra is egészséges kapcsolatot jelent. A Windowsnak csak egyetlen alapértelmezett útvonala van, és minden profil, amely igényt tart rá, elveszi a másiktól. A tünet VPN-kiesésnek látszik, de valójában útvonalverseny két profil között. Döntse el, melyik alagút birtokolja ezt az útvonalat, és a konfiguráció többi része követi.

Csak egyetlen bejegyzés lehet a legjobb alapértelmezett

Az IPv4-es útvonaltábla egyetlen győztes útvonalat tart a konkrétabb egyezéssel nem rendelkező célokhoz. Az a VPN-profil, amely sajátot telepít, a csatlakozás pillanatában lecseréli az előzőt, és a korábban az első alagútba lépő forgalom most a másodikon keresztül távozik. Az első alagút tovább él; ami eltűnik, az minden csomag, amely általános célokra használta volna.

A kliens állapotikonjai ezt nem tudják megmutatni. Azt jelentik, hogy létrejött egy alagút, nem azt, hogy mely előtagok irányulnak még oda, így a felhasználó két zöld ikont és egy időtúllépést lát valamelyik alkalmazásban. A route print -4 olvasása a hiba alatt többet mond bármely VPN-naplónál.

A névfeloldás egy második, független ütközés, és az útvonaltábla önmagában való javítása nem oldja meg.

Mit telepít a jelölőnégyzet, és mit távolít el

A beállítás minden VPN-profil adaptertulajdonságaiban, az IPv4 speciális beállításai alatt található, és úgy van megfogalmazva, hogy az alapértelmezett átjárót használja a távoli hálózaton. Bekapcsolva minden kapcsolat alapértelmezett útvonalat ad az alagúton át, és beállítja ezt az interfészt az általános forgalom sorába. Kikapcsolva a Windows megtartja az útvonalat az alagút saját alhálózatához, és békén hagyja a tábla többi részét.

Legtöbben éppen a jelölőnégyzet törlésénél akadnak el. A távoli telephelynek általában egynél több előtagja van, és ezek egyike sem esik az adapter alhálózatába, ezért a fájlszerverek és a kezelési címek megszűnnek válaszolni. A jelölőnégyzet nem törte el az alagutat; eltávolította azt a széles útvonalat, amely mindent lefedett.

A vegyes konfigurációk jogosak és gyakoriak: a vállalati profil megtartja a jelölőnégyzetet teljes alagútként, míg a laboratóriumi profil osztott, hogy ne szoríthassa ki a vállalati alapértelmezettet.

Aszerint válasszon, mit kell az egyes alagutaknak szállítaniuk

Három kérdés dönti el az elrendezést. Ennek az alagútnak hétköznapi internethasználati forgalmat kell szállítania, vagy csak a saját telephelyén belüli címeket? A két telephely elkülönülő privát tartományokat használ? És ha a profilt munkáltató kezeli, egyáltalán módosíthatja-e az útválasztási viselkedését?

Ha az egyik alagútnak teljesnek kell lennie, az birtokolja az alapértelmezettet, a másiknak pedig osztottnak kell lennie. Ha egyiknek sincs szüksége általános internethasználati forgalomra, törölje a jelölőnégyzetet mindkettőn, és hagyja, hogy a fizikai adapter tartsa meg az alapértelmezettet. Ha a tartományok átfednek, álljon meg: a 172.22.0.0/16 nem jelenthet egy gépet a vállalati oldalon és egy másikat a labor oldalon, és semmilyen jelölőnégyzet nem oldja meg ezt.

Jegyezze fel a döntést a profilnevek mellé. Máskülönben a következő negyedévben hozzáadott harmadik VPN újra kezdi a vizsgálatot.

Adja hozzá a hiányzó előtagokat, és tesztelje az eredményt

Minden osztott alagútnál adja hozzá kifejezetten a távoli tartományokat, a nyilvános kiszolgálócím helyett az adott adapteren látható partner-címet használva:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

A PPP-adapter a partner-címét használja következő ugrásként, míg a TAP-adapter általában az adott interfészen látható átjárót, ezért olvassa el az adapter részleteit, ne másoljon számot egy útmutatóból. Az állandó jelzőt csak akkor adja hozzá, ha az útvonal már bizonyítottan helyes, és a régi állandó bejegyzéseket törölje a helyettesítők hozzáadása előtt. A felügyelt kliensek saját útvonalakat telepíthetnek és védhetnek, ilyenkor a profil tulajdonosának kell a módosítást elvégeznie.

A DNS külön körutat igényel. Mindkét alagút küldhet feloldókat, és a Windows interfészenként listát vezet preferenciasorrenddel, így a második hálózathoz tartozó név az első hálózat feloldójához kerülhet. Nézze meg, mit kapott valójában az egyes adapter, mielőtt javítást választ:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

A tartományonkénti névfeloldási szabályzat általában jobb, mint a globális feloldólista lecserélése, mert azt a listát a gépen minden alkalmazás megosztja, és csendes módosítása nem összefüggő lekérdezéseket mozdít el.

Négy ellenőrzéssel fogadja el a beállítást: egy erőforrás minden távoli hálózatban címmel elérhetően, egy névkeresés mindegyikben, az internetes alapértelmezett továbbra is a fizikai adapterre mutat, és egy távoli asztali munkamenet, amely túléli a második kapcsolat felállását.