Due VPN Windows insieme: quale profilo mantiene la rotta predefinita?

Collegate il secondo tunnel e il primo tace, mentre entrambi i client segnalano ancora una connessione sana. Windows ha una sola rotta predefinita da dare, e ogni profilo che la rivendica la prende all’altro. Il sintomo sembra un’interruzione della VPN, ma è una contesa di routing tra due profili. Decidete quale tunnel deve possedere quella rotta e il resto della configurazione segue.

Solo una voce può essere la rotta predefinita migliore

La tabella di routing IPv4 conserva una sola rotta vincente per le destinazioni che non hanno una corrispondenza più specifica. Un profilo VPN che installa la propria sostituisce quella precedente appena si connette, e il traffico che prima entrava nel primo tunnel ora esce dal secondo. Il primo tunnel resta attivo; ciò che scompare è ogni pacchetto che lo avrebbe usato per destinazioni generali.

Le icone di stato del client non possono mostrarlo. Indicano che un tunnel è stato stabilito, non quali prefissi vi sono ancora instradati, così l’utente vede due icone verdi e un timeout in un’applicazione. Leggere route print -4 durante il guasto è più istruttivo di qualsiasi registro VPN.

La risoluzione dei nomi è un secondo conflitto indipendente, e correggere solo la tabella di routing non lo risolverà.

Cosa installa la casella e cosa rimuove

L’opzione si trova nelle proprietà della scheda di ogni profilo VPN, sotto le impostazioni IPv4 avanzate, ed è formulata come uso del gateway predefinito sulla rete remota. Attivata, ogni connessione aggiunge una rotta predefinita attraverso il tunnel e mette quell’interfaccia in coda per il traffico generale. Disattivata, Windows conserva la rotta per la subnet propria del tunnel e lascia in pace il resto della tabella.

È nel toglierla che la maggior parte delle persone si blocca. Il sito remoto di solito ha più di un prefisso, e nessuno di quei prefissi è dentro la subnet della scheda, così i file server e gli indirizzi di gestione smettono di rispondere. La casella non ha rotto il tunnel; ha rimosso la rotta ampia che copriva tutto.

Le configurazioni miste sono legittime e comuni: un profilo aziendale mantiene la casella come tunnel completo, mentre un profilo di laboratorio è diviso per non poter spostare la rotta predefinita aziendale.

Scegliete in base a ciò che ogni tunnel deve trasportare

Tre domande decidono la disposizione. Questo tunnel deve trasportare traffico internet ordinario o solo indirizzi dentro il proprio sito? I due siti usano intervalli privati disgiunti? E se il profilo è gestito da un datore di lavoro, vi è permesso modificare il suo comportamento di routing?

Se un tunnel deve essere completo, possiede la rotta predefinita e l’altro deve essere diviso. Se nessuno dei due ha bisogno di traffico internet generale, togliete la casella su entrambi e lasciate che la scheda fisica conservi la rotta predefinita. Se gli intervalli si sovrappongono, fermatevi: 172.22.0.0/16 non può significare una macchina lato aziendale e un’altra lato laboratorio, e nessuna casella lo risolve.

Annotate la decisione accanto ai nomi dei profili. Altrimenti una terza VPN aggiunta il trimestre successivo ripeterà l’indagine dall’inizio.

Aggiungete i prefissi mancanti e verificate il risultato

Per ogni tunnel diviso, aggiungete esplicitamente gli intervalli remoti, usando l’indirizzo di peer mostrato su quella scheda invece dell’indirizzo pubblico del server:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

Una scheda PPP usa il proprio indirizzo di peer come salto successivo, mentre una scheda TAP di solito usa il gateway mostrato su quell’interfaccia, quindi leggete i dettagli della scheda invece di copiare un numero da una guida. Aggiungete il flag permanente solo dopo che la rotta si è dimostrata corretta, ed eliminate le vecchie voci permanenti prima di aggiungere sostituzioni. I client gestiti possono installare e proteggere le proprie rotte, e in tal caso il proprietario del profilo deve fare la modifica.

Il DNS richiede un passaggio separato. Entrambi i tunnel possono imporre resolver, e Windows tiene un elenco per interfaccia con un ordine di preferenza, quindi un nome del secondo network può finire al resolver del primo. Guardate cosa ha ricevuto davvero ogni scheda prima di scegliere una correzione:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Una politica di risoluzione dei nomi per dominio è di solito migliore della sostituzione dell’elenco globale dei resolver, perché quell’elenco è condiviso da ogni applicazione della macchina e cambiarlo in silenzio sposta ricerche non correlate.

Accettate la configurazione con quattro controlli: una risorsa in ogni rete remota raggiungibile per indirizzo, una risoluzione di nome in ciascuna, la rotta predefinita internet ancora puntata alla scheda fisica e una sessione di desktop remoto che sopravvive all’attivazione della seconda connessione.