Mengapa VPN Windows Anda mematikan printer lokal dan cara menghentikannya

Hubungkan VPN dan printer menghilang, berbagi pakai NAS berhenti terbuka, dan sesi Remote Desktop ke mesin di sebelah Anda kehabisan waktu. Tidak ada yang rusak. Klien menambahkan rute default dan kini memiliki setiap tujuan yang bisa dinamai laptop, termasuk yang berjarak tiga meter. Itulah seluruh mekanismenya, dan menyebutnya kesalahan VPN adalah yang mengubah perbaikan satu baris menjadi tiket dukungan.

Baca tabel rute lebih dulu

Sebelum mengubah apa pun, ambil tabel IPv4 dengan route print -4 dan simpan keluarannya. Hubungkan, ambil lagi, dan bandingkan baris 0.0.0.0: rute default aktif menyebut sebuah antarmuka, dan jika antarmuka itu adalah tunnel, pencetakan dan penjelajahan lokal dikirim ke kantor lebih dulu.

Nomor antarmuka di kolom kedua adalah yang nanti harus dirujuk rute persisten, jadi catat saat tunnel menyala. Itu juga nilai yang berubah saat adaptor dibuat ulang, karena itu rute yang dipakukan padanya bisa diam-diam melewati masa manfaatnya.

Hapus rute default, dengan tiga cara

Pada profil Windows bawaan, kontrolnya berupa kotak centang. Buka properti koneksi, IPv4, lalu Tingkat lanjut, dan kosongkan Use default gateway on remote network; aplikasi Setelan yang lebih baru menyembunyikan dialog yang sama satu lapis lebih dalam. Dari prompt yang ditingkatkan, perubahan yang sama adalah satu cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

Sebuah OpenVPN profil bekerja berbeda, karena itu perilakunya membingungkan orang yang mengharapkan kotak centang. Direktif redirect-gateway def1 tidak menggantikan rute default sama sekali; ia memasang dua rute setengah rentang, 0.0.0.0/1 dan 128.0.0.0/1, yang bersama-sama mengalahkan rute default tanpa menghapusnya. Karena default asli bertahan, menambahkan prefiks yang menunjuk ke net_gateway hanya mengirim prefiks itu kembali ke router lokal. Detail itulah yang menjelaskan mengapa perbaikan untuk profil def1 adalah rute prefiks, bukan kotak centang yang tak seorang pun temukan.

Tambahkan kembali hanya yang milik pekerjaan

Karena rute default hilang, tunnel tidak membawa apa pun, jadi prefiks kerja harus dinamai secara eksplisit. Cmdlet yang mengikat prefiks ke koneksi lebih aman daripada rute persisten, karena hanya dipasang selama koneksi itu menyala dan tidak bergantung pada nomor antarmuka:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Pendekatan lama masih berfungsi dan masih ada di setiap daftar periksa: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, dengan indeks antarmuka dan alamat gateway milik tunnel itu sendiri. Rute itu bertahan setelah reboot, yang merupakan tujuannya dan juga bahayanya, karena indeks bisa menjadi milik hal lain pada boot berikutnya.

Metrik menentukan sisanya. Jika adaptor fisik dan adaptor tunnel sama-sama mengklaim rute untuk prefiks yang sama, metrik yang lebih rendah menang, dan menaikkan metrik tunnel adalah kontrol sah di sisi klien, bukan trik.

Saat server memutuskan untuk Anda

Klien yang mengabaikan kotak centang Anda biasanya menaati kebijakan. Profil Cisco membawa pengaturan Allow Local LAN Access, dan headend dapat mendorong kebijakan tunnel-all yang menimpa apa pun yang klien inginkan; dalam penerapan tunnel wajib tidak ada sakelar lokal untuk diputar. Baca log klien untuk rute dan baris kebijakan yang didorong alih-alih memeriksa ulang dialog yang sama.

Lalu lihat resolusi nama, yang merupakan sakelar terpisah dari perutean. Tunnel terbelah masih bisa menerima resolver internal dan sufiks pencarian, jadi perangkat lokal dapat dijangkau lewat alamat dan tidak dapat ditemukan lewat nama sampai sisi DNS juga diperbaiki.

Tumpang tindih adalah masalah lain

Jika LAN rumah dan LAN kantor berbagi prefiks seperti 192.168.0.0/24, tidak ada rute yang bisa membedakannya. Setiap paket untuk rentang itu hanya punya satu hasil pencarian, dan perbaikannya adalah menomori ulang satu sisi atau mencapai kantor lewat alamat terjemahan dari pool. Menambah rute yang lebih spesifik hanya memindahkan separuh jaringan mana yang rusak.

Akhiri dengan satu verifikasi alih-alih lima: hubungkan, lalu jalankan tracert terhadap host internal dan host publik. Lompatan pertama seharusnya berbeda, dan jika tidak, pemisahannya tidak berlaku, apa pun yang dilaporkan klien. Lalu hubungkan ulang sekali dan ulangi, karena rute yang didorong kembali pada setiap sesi.