Windows-та бір уақытта екі VPN: қай профиль әдепкі маршрутты сақтайды?

Екінші туннельді қосыңыз — біріншісі үнсіз қалады, ал екі клиент те әлі де сау қосылым туралы хабарлайды. Windows-тың беретін бір ғана әдепкі маршруты бар және оған таласатын әрбір профиль оны екіншісінен тартып алады. Симптом VPN іркілісіне ұқсайды, бірақ бұл екі профиль арасындағы маршруттау бәсекесі. Қай туннель бұл маршрутқа ие болуы керектігін шешіңіз, қалған конфигурация соған ереді.

Ең жақсы әдепкі маршрут тек бір жазба ғана бола алады

IPv4 маршруттау кестесі неғұрлым нақты сәйкестігі жоқ межелі орындар үшін бір ғана жеңімпаз маршрутты сақтайды. Өз маршрутын орнататын VPN профилі қосылған бойда алдыңғысын алмастырады, ал бұрын бірінші туннельге кіретін трафик енді екіншісінен шығады. Бірінші туннель көтеріліп тұрады; жоғалатыны — жалпы межелі орындар үшін оны пайдаланатын кез келген пакет.

Клиент күйінің белгішелері мұны көрсете алмайды. Олар туннельдің орнатылғанын хабарлайды, бірақ қай префикстердің әлі сол жаққа маршрутталатынын емес, сондықтан пайдаланушы екі жасыл белгішені және бір қолданбада уақыт шегінің бітуін көреді. Ақау кезінде route print -4 оқу кез келген VPN журналынан гөрі ақпаратты.

Атауларды шешу — екінші, тәуелсіз қақтығыс және маршруттау кестесін жалғыз түзету оны шешпейді.

Құсбелгі нені орнатады және нені жояды

Опция әр VPN профилінің адаптер қасиеттерінде, IPv4 қосымша параметрлерінде орналасқан және қашықтағы желіде әдепкі шлюзді пайдалану деп тұжырымдалған. Қосылған кезде әр қосылым туннель арқылы әдепкі маршрут қосады және сол интерфейсті жалпы трафик кезегіне қояды. Өшірілген кезде Windows туннельдің өз ішкі желісіне арналған маршрутты сақтайды және кестенің қалғанына тиіспейді.

Көпшілік дәл құсбелгіні алып тастағанда тұрып қалады. Қашықтағы сайтта әдетте бірнеше префикс болады және олардың ешқайсысы адаптердің ішкі желісінде емес, сондықтан файлдық серверлер мен басқару мекенжайлары жауап беруді тоқтатады. Құсбелгі туннельді бұзған жоқ; ол бәрін жауып тұрған кең маршрутты алып тастады.

Аралас конфигурациялар заңды және жиі кездеседі: корпоративтік профиль құсбелгіні толық туннель ретінде ұстайды, ал зертханалық профиль корпоративтік әдепкі маршрутты ығыстырмау үшін бөлінген күйде болады.

Әр туннель нені тасуы керектігіне қарай таңдаңыз

Үш сұрақ орналасуды шешеді. Бұл туннель кәдімгі интернет трафигін тасуы керек пе, әлде тек өз сайтының ішіндегі мекенжайларды ма? Екі сайт қиылыспайтын жеке ауқымдарды пайдалана ма? Ал профильді жұмыс беруші басқарса, оның маршруттау әрекетін өзгертуге рұқсат бар ма?

Егер бір туннель толық болуы керек болса, әдепкі маршрут соған тиесілі, ал екіншісі бөлінген болуы керек. Егер ешқайсысына жалпы интернет трафигі қажет болмаса, екеуінен де құсбелгіні алып тастаңыз және физикалық адаптер әдепкі маршрутты ұстап тұрсын. Ауқымдар қабаттасса, тоқтаңыз: 172.22.0.0/16 корпоративтік жақтағы бір машинаны және зертхана жағындағы екінші машинаны білдіре алмайды, және ешбір құсбелгі мұны шешпейді.

Шешімді профиль атауларының қасына жазып қойыңыз. Әйтпесе келесі тоқсанда қосылатын үшінші VPN тергеуді басынан қайталайды.

Жетіспейтін префикстерді қосып, нәтижені тексеріңіз

Әр бөлінген туннель үшін қашықтағы ауқымдарды анық қосыңыз, сервердің жария мекенжайының орнына сол адаптерде көрсетілген серіктес мекенжайын пайдаланыңыз:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

PPP адаптері келесі секіріс ретінде өзінің серіктес мекенжайын пайдаланады, ал TAP адаптері әдетте сол интерфейсте көрсетілген шлюзді пайдаланады, сондықтан нұсқаулықтан сан көшірмей, адаптер мәліметтерін оқыңыз. Тұрақты жалаушаны маршрут дұрыс екені дәлелденгеннен кейін ғана қосыңыз және ескі тұрақты жазбаларды алмастырғыштарды қоспас бұрын жойыңыз. Басқарылатын клиенттер өз маршруттарын орнатып қорғауы мүмкін, онда өзгерісті профиль иесі жасауы керек.

DNS бөлек өтуді қажет етеді. Екі туннель де шешушілерді итеруі мүмкін және Windows әр интерфейс үшін басымдық тәртібі бар тізім ұстайды, сондықтан екінші желіге тиесілі атау бірінші желінің шешушісіне жіберілуі мүмкін. Түзетуді таңдамас бұрын әр адаптердің нақты нені алғанын қараңыз:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Домен бойынша атауларды шешу саясаты әдетте ғаламдық шешушілер тізімін алмастырғаннан жақсы, өйткені ол тізімді құрылғыдағы әр қолданба бөліседі және оны үнсіз өзгерту байланысы жоқ іздеулерді жылжытады.

Конфигурацияны төрт тексерумен қабылдаңыз: әр қашықтағы желіде мекенжай бойынша қолжетімді бір ресурс, әрқайсысында атау іздеу, интернеттің әдепкі маршруты әлі де физикалық адаптерге сілтейді және екінші қосылым көтерілгенде де сақталатын қашықтағы жұмыс үстелі сессиясы.