Dua VPN Windows Sekaligus: Profil Mana yang Menyimpan Rute Default?

Colokkan tunnel kedua dan tunnel pertama menjadi diam, sementara kedua klien masih melaporkan koneksi sehat. Windows hanya punya satu rute default untuk diberikan, dan setiap profil yang mengklaimnya mengambilnya dari profil lain. Gejalanya tampak seperti gangguan VPN, tetapi sebenarnya ini pertarungan routing antara dua profil. Putuskan tunnel mana yang harus memiliki rute itu dan sisa konfigurasinya akan mengikuti.

Hanya satu entri yang bisa menjadi default terbaik

Tabel routing IPv4 menyimpan satu rute pemenang untuk tujuan yang tidak punya kecocokan lebih spesifik. Profil VPN yang memasang rutenya sendiri menggantikan rute sebelumnya begitu terhubung, dan lalu lintas yang tadinya masuk ke tunnel pertama kini keluar melalui tunnel kedua. Tunnel pertama tetap aktif; yang hilang adalah paket apa pun yang akan memakainya untuk tujuan umum.

Ikon status klien tidak bisa menunjukkan itu. Ikon melaporkan bahwa sebuah tunnel terbentuk, bukan prefiks mana yang masih dirutekan ke sana, jadi pengguna melihat dua ikon hijau dan batas waktu di sebuah aplikasi. Membaca route print -4 saat gangguan lebih informatif daripada log VPN mana pun.

Resolusi nama adalah konflik kedua yang mandiri, dan memperbaiki tabel routing saja tidak akan menyelesaikannya.

Apa yang dipasang kotak centang, dan apa yang dihapusnya

Opsi ini ada di properti adaptor setiap profil VPN di bagian pengaturan lanjutan IPv4, dirumuskan sebagai penggunaan gateway default di jaringan jarak jauh. Jika aktif, setiap koneksi menambahkan rute default lewat tunnel dan menempatkan antarmuka itu dalam antrean lalu lintas umum. Jika nonaktif, Windows menyimpan rute untuk subnet milik tunnel dan membiarkan sisa tabel apa adanya.

Menghapus centangnya adalah titik tempat kebanyakan orang macet. Situs jarak jauh biasanya punya lebih dari satu prefiks, dan tidak satu pun prefiks itu berada di dalam subnet adaptor, sehingga server file dan alamat manajemen berhenti menjawab. Kotak centang itu tidak merusak tunnel; ia menghapus rute luas yang selama ini mencakup semuanya.

Konfigurasi campuran sah dan umum: profil korporat mempertahankan kotak centang sebagai tunnel penuh, sementara profil laboratorium dipisah agar tidak bisa menggeser default korporat.

Pilih berdasarkan apa yang harus dibawa setiap tunnel

Tiga pertanyaan menentukan susunannya. Apakah tunnel ini perlu membawa lalu lintas internet biasa, atau hanya alamat di dalam situsnya sendiri? Apakah kedua situs memakai rentang privat yang terpisah? Dan jika profil dikelola pemberi kerja, apakah Anda diizinkan mengubah perilaku routingnya sama sekali?

Jika satu tunnel harus penuh, ia memiliki rute default dan yang lain harus dipisah. Jika tidak ada yang membutuhkan lalu lintas internet umum, hapus centang pada keduanya dan biarkan adaptor fisik memegang rute default. Jika rentangnya bertumpuk, berhentilah: 172.22.0.0/16 tidak bisa berarti satu mesin di sisi korporat dan mesin lain di sisi laboratorium, dan tidak ada kotak centang yang menyelesaikannya.

Catat keputusan itu di samping nama profil. Kalau tidak, VPN ketiga yang ditambahkan kuartal berikutnya akan mengulang penyelidikan dari awal.

Tambahkan prefiks yang hilang dan uji hasilnya

Untuk setiap tunnel terpisah, tambahkan rentang jarak jauh secara eksplisit, dengan memakai alamat peer yang ditampilkan pada adaptor itu alih-alih alamat publik server:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

Adaptor PPP memakai alamat peer-nya sebagai hop berikutnya, sedangkan adaptor TAP biasanya memakai gateway yang ditampilkan pada antarmuka itu, jadi bacalah detail adaptor alih-alih menyalin angka dari panduan. Tambahkan flag persisten hanya setelah rute terbukti benar, dan hapus entri persisten lama sebelum menambahkan pengganti. Klien terkelola dapat memasang dan melindungi rutenya sendiri, dan dalam hal itu pemilik profil harus melakukan perubahannya.

DNS perlu putaran terpisah. Kedua tunnel dapat mendorong resolver, dan Windows menyimpan daftar per antarmuka dengan urutan preferensi, sehingga nama milik jaringan kedua bisa terkirim ke resolver jaringan pertama. Lihat apa yang benar-benar diterima setiap adaptor sebelum memilih perbaikan:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Kebijakan resolusi nama per domain biasanya lebih baik daripada mengganti daftar resolver global, karena daftar itu dipakai bersama oleh setiap aplikasi di mesin dan mengubahnya diam-diam memindahkan pencarian yang tidak terkait.

Terima penyiapan dengan empat pemeriksaan: satu sumber daya di setiap jaringan jarak jauh yang dapat dicapai lewat alamat, pencarian nama di masing-masing, default internet masih menunjuk ke adaptor fisik, dan sesi desktop jarak jauh yang bertahan saat koneksi kedua naik.