Stampante offline quando si connette la VPN? Controllate la tabella di routing

Il vostro portatile si unisce alla VPN aziendale e la stampante a due metri smette di rispondere. Sulla stampante non è cambiato nulla e la rete locale non è caduta. Quello che è cambiato è la tabella di routing: l’adattatore del tunnel ora possiede un percorso che copre l’indirizzo della stampante, così quei pacchetti escono per la VPN e arrivano a un gateway che non ha idea di dove sia la vostra rete piatta. Eseguite i quattro controlli qui sotto in ordine e fermatevi al primo che fallisce.

Primo passo: dimostrate che la stampante è ancora raggiungibile sulla LAN

Prima di toccare il routing, confermate che il dispositivo è vivo per qualcosa che non usa la VPN. Chiedete a un telefono sulla stessa Wi-Fi di aprire la pagina web della stampante, oppure fate ping all’indirizzo da un’altra macchina sulla rete piatta. Se la stampante non risponde nemmeno lì, la VPN è una coincidenza e la colpa è della stampante, della sua associazione Wi-Fi o dell’isolamento dei client sull’access point.

Se risponde ovunque tranne su questo portatile, avete un problema di routing o di risoluzione dei nomi che vive sul portatile, e il passo successivo vi dice quale dei due è.

Secondo passo: trovate la rotta che Windows sceglie davvero

Non leggete la tabella dall’alto verso il basso e non indovinate. Chiedete a Windows quale voce sceglie per l’indirizzo esatto che vi interessa, e prendete l’indice dell’interfaccia nello stesso momento.

Find-NetRoute -RemoteIPAddress 192.168.1.50
route print -4
tracert -d 192.168.1.50

Find-NetRoute stampa la rotta vincente e la sua interfaccia, e questi sono i due fatti da cui dipende il resto. route print -4 mostra le voci circostanti, comprese le due mezze rotte predefinite che i client a tunnel completo installano: 0.0.0.0/1 e 128.0.0.0/1, che insieme coprono tutto lo spazio IPv4 senza mai sostituire 0.0.0.0/0. Una /1 è più lunga di una /0, ma la vostra 192.168.1.0/24 lo è ancora di più, ed è per questo che una rotta LAN mancante conta più della pretesa del tunnel stesso.

Due regole decidono la risposta. Il prefisso corrispondente più lungo vince per primo, e tra le voci con lo stesso prefisso vince la metrica totale più bassa, dove il totale combina la metrica della rotta e quella dell’interfaccia. Se l’interfaccia selezionata è il tunnel, continuate. Se è l’adattatore fisico e il traffico fallisce ancora, fermatevi qui: il vostro problema è la risoluzione dei nomi o la lista di accesso della stampante stessa, non la rotta VPN.

Terzo passo: aggiungete la rotta più stretta che nomina gateway e interfaccia

La riparazione è una voce che punta l’indirizzo della stampante al router locale sull’adattatore locale. Eseguitela in un prompt elevato e sostituite i valori che avete appena letto.

route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 if 12 -p

Il valore di if è l’indice dell’interfaccia dell’adattatore fisico. Ometterlo è il motivo più comune per cui il comando sembra riuscire e non cambia nulla, perché con due adattatori in grado di raggiungere lo stesso salto successivo Windows è libero di scegliere quello che non volevate. Il flag -p rende la voce persistente, così sopravvive a un riavvio invece di morire con la sessione.

Preferite una rotta host per il singolo dispositivo a una rotta per tutta la 192.168.1.0/24. Una rotta di subnet è più ampia di quanto serva e va in conflitto nel momento in cui anche il lato aziendale usa quel prefisso: un prefisso ha allora due proprietari, e quale voce vince decide a quale rete potete arrivare davvero.

Nell’altra direzione, se avete cancellato l’opzione del gateway predefinito sulla connessione VPN per proteggere la LAN, anche i prefissi privati remoti smettono di risolversi. Aggiungete le rotte per quelli attraverso l’interfaccia VPN allo stesso modo, altrimenti il tunnel diventa un collegamento che non trasporta nulla.

Quarto passo: fate sopravvivere l’eccezione alla prossima connessione

Molti client aziendali reinstallano l’intero set di rotte a ogni connessione e ricalcolano le metriche delle interfacce mentre lo fanno, così una rotta che funzionava ieri oggi può essere superata. Dopo la riconnessione, ripetete Find-NetRoute per la stampante e verificate che l’interfaccia corrisponda ancora all’adattatore fisico. Se la voce è sparita, qualcosa la sta cancellando; una rotta persistente non vi protegge da un agente che spazza la tabella. Le attività pianificate che riaggiungono la rotta dopo la connessione VPN sono la soluzione abituale, e sono anche la soluzione che si rompe quando l’indice dell’adattatore cambia dopo una docking station o un aggiornamento del driver.

Tenete d’occhio IPv6 separatamente. Un client che rivendica solo il valore predefinito IPv4 può lasciare la rotta predefinita IPv6 sull’adattatore fisico, così una stampante raggiungibile via IPv6 continua a funzionare mentre IPv4 fallisce, o il contrario. Provate con ping -4 e ping -6 prima di decidere che la tabella di routing è innocente.

Quanto vi costa la scorciatoia locale

Qualsiasi rotta che aggira il tunnel è un buco nella promessa del tunnel. Il traffico verso quell’indirizzo non passa più dal gateway aziendale, il che significa nessuna ispezione, nessuna registrazione e nessuna applicazione delle policy. Su un dispositivo gestito può essere un problema di conformità più che una preferenza, quindi chiedete se esiste un’eccezione ufficiale di split-tunnel prima di aggiungerne una a mano. Tenete la vostra stretta quanto il compito e breve quanto la situazione consente.

Se la stampante risponde dopo la modifica, ripetete i quattro controlli dopo la vostra prossima riconnessione invece di dare per scontato che la correzione abbia tenuto. Se non risponde, catturate l’output di Find-NetRoute prima e dopo la connessione; la differenza vi dice se il client ha cancellato la voce o l’ha solo riordinata.