Windows에서 VPN 두 개를 동시에: 어느 프로필이 기본 경로를 유지하는가?

두 번째 터널을 연결하면 첫 번째가 조용해지지만 두 클라이언트는 여전히 정상 연결을 보고합니다. Windows가 내줄 기본 경로는 하나뿐이고, 그것을 요구하는 프로필이 다른 쪽에서 가져갑니다. 증상은 VPN 장애처럼 보이지만 실제로는 두 프로필 사이의 라우팅 다툼입니다. 어느 터널이 그 경로를 가져야 할지 정하면 나머지 구성은 따라옵니다.

최선의 기본 경로가 될 수 있는 항목은 하나뿐이다

IPv4 라우팅 테이블은 더 구체적인 일치가 없는 목적지에 대해 단 하나의 승리 경로를 유지합니다. 자체 경로를 설치하는 VPN 프로필은 연결되는 순간 이전 경로를 대체하며, 전에 첫 번째 터널로 들어가던 트래픽은 이제 두 번째 터널로 나갑니다. 첫 번째 터널은 계속 올라와 있고, 사라지는 것은 일반 목적지에 쓰였을 패킷입니다.

클라이언트 상태 아이콘은 그것을 보여 주지 못합니다. 터널이 설정되었다는 것만 알려 줄 뿐 어떤 접두사가 아직 그쪽으로 라우팅되는지는 알려 주지 않으므로, 사용자는 초록 아이콘 두 개와 한 응용 프로그램의 시간 초과를 봅니다. 장애 중에 route print -4를 읽는 것이 어떤 VPN 로그보다 정보가 많습니다.

이름 확인은 두 번째의 독립적인 충돌이며, 라우팅 테이블만 고쳐서는 해결되지 않습니다.

체크박스가 설치하는 것과 제거하는 것

이 옵션은 각 VPN 프로필의 어댑터 속성에서 IPv4 고급 설정 아래에 있으며, 원격 네트워크의 기본 게이트웨이를 사용한다는 문구로 되어 있습니다. 켜면 모든 연결이 터널을 지나는 기본 경로를 추가하고 그 인터페이스를 일반 트래픽 대기열에 넣습니다. 끄면 Windows는 터널 자체의 서브넷 경로를 유지하고 테이블의 나머지는 그대로 둡니다.

대부분의 사람이 막히는 지점은 체크박스를 해제할 때입니다. 원격 사이트에는 보통 접두사가 하나 이상 있고 그중 어느 것도 어댑터 서브넷 안에 없으므로 파일 서버와 관리 주소가 응답을 멈춥니다. 체크박스가 터널을 망가뜨린 것이 아니라, 모든 것을 덮던 넓은 경로를 제거한 것입니다.

혼합 구성은 정당하고 흔한데, 기업 프로필은 체크박스를 전체 터널로 유지하고 실험실 프로필은 기업 기본 경로를 밀어내지 못하도록 분할합니다.

각 터널이 무엇을 실어야 하는지로 고르십시오

세 가지 질문이 배치를 정합니다. 이 터널이 일반 인터넷 트래픽을 실어야 하는지, 아니면 자기 사이트 안의 주소만 실으면 되는지. 두 사이트가 겹치지 않는 사설 범위를 쓰는지. 그리고 프로필을 고용주가 관리한다면 그 라우팅 동작을 바꿀 권한이 있는지.

한 터널이 전체여야 한다면 그쪽이 기본 경로를 가지며 다른 쪽은 분할이어야 합니다. 둘 다 일반 인터넷 트래픽이 필요 없다면 양쪽의 체크박스를 해제하고 물리 어댑터가 기본 경로를 유지하게 하십시오. 범위가 겹친다면 172.22.0.0/16이 기업 쪽의 한 대와 실험실 쪽의 또 다른 한 대를 동시에 뜻할 수 없고 어떤 체크박스로도 해결되지 않으므로 멈추십시오.

결정을 프로필 이름 옆에 기록하십시오. 그렇지 않으면 다음 분기에 추가하는 세 번째 VPN이 같은 조사를 처음부터 되풀이합니다.

빠진 접두사를 추가하고 결과를 시험하십시오

분할 터널마다 원격 범위를 명시적으로 추가하되, 서버의 공인 주소가 아니라 해당 어댑터에 표시된 피어 주소를 사용하십시오.

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

PPP 어댑터는 피어 주소를 다음 홉으로 쓰고, TAP 어댑터는 보통 그 인터페이스에 표시된 게이트웨이를 쓰므로 안내서에서 숫자를 베끼지 말고 어댑터 세부 정보를 읽으십시오. 영구 플래그는 경로가 옳다고 확인된 뒤에만 붙이고, 대체 항목을 추가하기 전에 오래된 영구 항목을 지우십시오. 관리되는 클라이언트는 자체 경로를 설치하고 보호할 수 있으며, 그 경우 프로필 소유자가 변경을 해야 합니다.

DNS는 별도의 단계가 필요합니다. 두 터널 모두 확인자를 밀어 넣을 수 있고 Windows는 인터페이스마다 우선 순위가 있는 목록을 유지하므로, 두 번째 네트워크의 이름이 첫 번째 네트워크의 확인자로 보내질 수 있으니 해결책을 고르기 전에 각 어댑터가 실제로 무엇을 받았는지 보십시오.

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

도메인별 이름 확인 정책이, 컴퓨터의 모든 응용 프로그램이 공유하며 조용히 바꾸면 관계없는 조회까지 옮겨지는 전역 확인자 목록을 바꾸는 것보다 보통 낫습니다.

각 원격 네트워크에서 주소로 닿는 자원 하나, 각각에서의 이름 조회, 인터넷 기본 경로가 여전히 물리 어댑터를 가리키는지, 두 번째 연결이 올라와도 유지되는 원격 데스크톱 세션, 이 네 가지 확인으로 구성을 받아들이십시오.