Windows’то эки VPN бир убакта: кайсы профиль демейки маршрутту сактайт?

Экинчи туннелди туташтырыңыз — биринчиси үнсүз калат, бирок эки клиент тең дагы эле дени сак туташуу тууралуу билдирет. Windows берүүгө бир гана демейки маршрутка ээ, жана ага талап кылган ар бир профиль аны экинчисинен тартып алат. Белги VPN бузулушуна окшош, бирок бул эки профилдин ортосундагы маршруттоо талашы. Кайсы туннель бул маршрутка ээ болушу керектигин чечиңиз, калган конфигурация ошого ээрчийт.

Эң жакшы демейки маршрут боло алат бир гана жазуу

IPv4 маршруттоо таблицасы так дал келүүсү жок багыттар үчүн бир гана жеңүүчү маршрутту сактайт. Өз маршрутун орноткон VPN профили туташкан замат мурункусун алмаштырат, жана мурун биринчи туннелге кирген трафик эми экинчисинен чыгат. Биринчи туннель көтөрүлүп турат; жоголгону — жалпы багыттар үчүн аны колдонмок болгон ар кандай пакет.

Клиенттин статус белгичелери муну көрсөтө албайт. Алар туннелдин орнотулганын билдирет, бирок кайсы префикстер дагы эле ошого маршрутталарын эмес, ошондуктан колдонуучу эки жашыл белгиче жана бир колдонмодо убакыт бүтүүсүн көрөт. Бузулуу учурунда route print -4 окуу кандайдыр бир VPN журналынан да көбүрөөк маалымат берет.

Аттарды чечүү — экинчи, көз карандысыз жаңжал, жана маршруттоо таблицасын гана оңдоо аны чечпейт.

Белги эмнени орнотот жана эмнени алып салат

Опция ар бир VPN профилинин адаптер касиеттеринде, IPv4 кошумча жөндөөлөрүндө жайгашкан жана алыскы тармакта демейки шлюзди колдонуу деп түзүлгөн. Күйгүзүлгөндө ар бир туташуу туннел аркылуу демейки маршрут кошот жана ошол интерфейсти жалпы трафиктин кезегине коёт. Өчүрүлгөндө Windows туннелдин өз ички тармагы үчүн маршрутту сактайт жана таблицанын калганына тийбейт.

Көпчүлүк дал белгини алып салганда тыгылып калат. Алыскы сайтта адатта бирден ашык префикс болот жана алардын эч бири адаптердин ички тармагында эмес, ошондуктан файлдык серверлер жана башкаруу даректери жооп берүүнү токтотот. Белги туннелди бузган жок; ал баарын жаап турган кенен маршрутту алып салды.

Аралаш конфигурациялар мыйзамдуу жана кеңири таралган: корпоративдик профиль белгини толук туннель катары кармайт, ал эми лабораториялык профиль корпоративдик демейкини жылдырбаш үчүн бөлүнгөн.

Ар бир туннель эмнени ташуусу керектигине жараша тандаңыз

Үч суроо жайгашууну чечет. Бул туннель кадимки интернет трафигин ташууга тийишпи, же өз сайтынын ичиндеги даректерди ганабы? Эки сайт кесилишпеген жеке диапазондорду колдонорбу? Ал эми профилди жумуш берүүчү башкарса, анын маршруттоо жүрүм-турумун өзгөртүүгө уруксат барбы?

Эгер бир туннель толук болушу керек болсо, демейки маршрут ошого таандык, ал эми экинчиси бөлүнгөн болушу керек. Эгер экөөнө тең жалпы интернет трафиги керек болбосо, экөөнөн тең белгини алып салыңыз жана физикалык адаптер демейки маршрутту кармап турсун. Диапазондор кабатташса, токтогула: 172.22.0.0/16 корпоративдик тараптагы бир машинаны жана лаборатория тарабындагы экинчи машинаны түшүндүрө албайт, жана эч бир белги муну чечпейт.

Чечимди профиль аттарынын жанына жазып коюңуз. Болбосо кийинки чейректе кошулган үчүнчү VPN иликтөөнү башынан кайталайт.

Жетишпеген префикстерди кошуп, натыйжаны текшериңиз

Ар бир бөлүнгөн туннель үчүн алыскы диапазондорду ачык кошуңуз, сервердин коомдук дарегинин ордуна ошол адаптерде көрсөтүлгөн өнөктөштүн дарегин колдонуңуз:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

PPP адаптери кийинки секирик катары өзүнүн өнөктөш дарегин колдонот, ал эми TAP адаптери адатта ошол интерфейсте көрсөтүлгөн шлюзди колдонот, ошондуктан колдонмодон сан көчүрбөй, адаптердин чоо-жайын окуңуз. Туруктуу желеги маршрут туура экени далилденгенден кийин гана кошуңуз жана эски туруктуу жазууларды алмаштыргычтарды коштон мурун өчүрүңүз. Башкарылуучу клиенттер өз маршруттарын орнотуп коргой алат, анда өзгөртүүнү профилдин ээси жасашы керек.

DNS өзүнчө өтүүнү талап кылат. Эки туннель тең чечүүчүлөрдү түртүп жибере алат жана Windows ар бир интерфейс үчүн артыкчылык тартиби бар тизме кармайт, ошондуктан экинчи тармакка таандык ат биринчи тармактын чечүүчүсүнө жөнөтүлүшү мүмкүн. Оңдоону тандоодон мурун ар бир адаптер чындыгында эмнени алганын караңыз:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Домен боюнча аттарды чечүү саясаты адатта глобалдык чечүүчүлөр тизмесин алмаштыргандан жакшы, анткени ал тизмени түзмөктөгү ар бир колдонмо бөлүшөт жана аны үнсүз өзгөртүү байланышы жок издөөлөрдү жылдырат.

Конфигурацияны төрт текшерүү менен кабыл алыңыз: ар бир алыскы тармакта дарек боюнча жеткиликтүү бир ресурс, ар биринде ат издөө, интернеттин демейки маршруту дагы эле физикалык адаптерди көрсөтөт жана экинчи туташуу көтөрүлгөндө сакталуучу алыскы иш такта сессиясы.