VPN Windows Mengambil Semua Trafik Anda? Hapus Rute Default-nya

Anda terhubung ke VPN kantor dan setiap halaman di peramban mulai melewati jaringan itu: server berkas cepat, semua yang lain lambat, tersaring, atau hilang. Klien tidak berperilaku salah; profil meminta terowongan penuh. Sakelar yang menghentikannya adalah satu kotak centang dalam dialog yang tidak ditampilkan aplikasi Pengaturan modern, dan gateway kembali bersuara pada setiap koneksi. Panduan ini mengikuti urutan yang benar-benar disajikan antarmuka Windows, lalu membahas pemeriksaan yang masih gagal setelah tabel rute terlihat benar.

Mulai dari properti adaptor, bukan dari Pengaturan

Aplikasi Pengaturan mencantumkan profil di bawah Jaringan & Internet, lalu VPN, tetapi hanya menampilkan opsi umum. Keputusan gateway default berada pada adaptor. Buka daftar adaptor klasik dengan Win+R dan ncpa.cpl, klik kanan koneksi VPN, pilih Properti, pilih Internet Protocol versi 4, pilih Properti lagi, lalu Tingkat Lanjut. Hapus centang Gunakan gateway default di jaringan jarak jauh dan konfirmasi keluar dari ketiga dialog.

Hubungkan ulang sebelum menguji, karena kotak centang diterapkan saat terowongan dibentuk dan sesi yang ada mempertahankan tabel yang telah dibangunnya. Jika adaptor tidak muncul saat klien terputus, hubungkan sekali dan buka kembali jendelanya. Klien vendor yang memasang adaptor TAP atau Wintun tanpa halaman properti IPv4 sama sekali tidak memiliki dialog ini; bagi mereka keputusan yang sama adalah opsi terowongan terpisah di pengaturan klien itu sendiri, dan kotak centang adaptor adalah tempat yang salah untuk mencari.

Perubahan yang sama dari PowerShell

Untuk profil yang dibuat di penyimpanan VPN Windows, pengaturannya dapat diskrip, yang Anda inginkan jika mesin sering dipasang ulang:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Cmdlet itu hanya menjangkau profil di penyimpanan tersebut. Koneksi yang ditambahkan klien pihak ketiga tidak akan muncul, dan perintah gagal dengan galat nama yang terbaca seperti salah ketik. Perhatikan juga apa yang tidak dilakukan sakelar ini: ia mencegah klien memasang rute default, tetapi tidak menghapus rute yang didorong gateway saat terhubung, jadi bagian berikutnya masih diperlukan di banyak jaringan.

Saat gateway mendorong kembali rute default

Baca tabelnya dulu. Dua entri default dengan metrik berbeda berarti perubahan profil berhasil dan rute yang didorong tetap menggantikannya:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Hapus rute default milik terowongan dan pertahankan yang fisik. Gunakan indeks antarmuka dari perintah ketiga, bukan alias adaptor, karena skrip yang memberi alias rusak begitu nama tampilan berubah:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

Penghapusan itu membawa serta kantor, jadi tambahkan kembali prefiks korporat melalui gateway terowongan. Inilah baris yang dilewatkan orang, dan inilah sebabnya «VPN berhenti bekerja» menyusul perubahan terowongan terpisah yang berhasil:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Tidak ada satu pun dari ini yang bertahan setelah koneksi ulang, yang merupakan perilaku jujur dan bukan bug: adaptor dibangun ulang dan klien menerapkan kembali apa yang disepakati profil dan gateway. Jika rute default muncul lagi setiap kali, gateway dikonfigurasi untuk menolak terowongan terpisah dan akan terus mendorongnya, atau memutus sesi. Itu kebijakan operator jaringan, dan permintaannya berada di sana, bukan di skrip lokal yang melawannya sekali per koneksi.

Periksa ulang DNS, IPv6, dan metrik setelah satu koneksi ulang

Menghapus rute default IPv4 tidak membuktikan apa pun tentang keluarga lain atau tentang resolusi nama. Terowongan dapat membawa IPv6 sementara default IPv4 tetap lokal, dan daftar resolver yang didorong dapat menjaga nama internal tetap bekerja sementara kueri yang memakainya menempuh jalur lain. Periksa ketiganya sebelum menyebutnya selesai:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

Jika keadaan kembali pada setiap koneksi, pindahkan perintahnya ke tindakan per koneksi alih-alih menyunting tabel secara manual: tugas terjadwal yang dipicu peristiwa koneksi, atau pengaturan terowongan terpisah milik klien jika ada. Simpan indeks antarmuka dalam variabel dan cari saat berjalan, karena bisa berubah ketika adaptor ditambah atau dilepas.

Putuskan apa yang Anda lepaskan

Trafik internet lokal tidak lagi diperiksa atau disaring oleh kantor, dan apa pun yang hanya diterbitkan melalui terowongan kini membutuhkan rutenya sendiri. Beberapa organisasi menganggap terowongan terpisah sebagai pelanggaran kebijakan, jadi pastikan itu sebelum mengubah perangkat terkelola; default yang didorong kadang merupakan mekanisme penegakan, bukan kecelakaan. Dokumentasi Set-VpnConnection mencantumkan parameter terowongan terpisah dan tipe profil yang berlaku.

Lalu verifikasi dalam urutan tetap: siapa yang memiliki rute default, penelusuran biasa, satu host korporat berdasarkan alamat, satu nama internal, dan keempatnya setelah satu koneksi ulang. Jika penelusuran berjalan dan host korporat gagal, rute prefiks yang hilang, bukan default yang Anda hapus, dan itu jauh lebih murah diperbaiki daripada membangun ulang profil.