VPN Windows'то жергиликтүү LANды бөгөттөйт: маршрутпы же кардар саясатыбы?

Өз столуңуздагы принтер, NAS же иштеп чыгуу машинасы жумуш VPNи туташкан учурда жооп берүүнү токтотот. Кээде бир маршрут буйругу аны секунддарда оңдойт; кээде ошол эле маршрут туура болгону менен пакеттер дагы эле жоголот, бул окшош симптомдору бар башка маселени көрүп жатканыңызды билдирет. Чечим үч суроого келет, жана аларды туура эмес тартипте берүү адамдардын бүт кечти маршруттарды өчүрүп, кайра кошууга жумшашынын себеби.

Ар кандай буйруктан мурун үч суроо

Биринчи: жергиликтүү префикс үчүн жазуу барбы, жана ал физикалык адаптерге көрсөтөбү? Экинчи: туташуу учурунда кардар gatewayден жергиликтүү тармакка уруксат же тыюу алабы? Үчүнчү: сизге LANга чыгуучу кирүү гана керекпи, же интернеттеги бир нерсе да сиздин машинаңызда иштеген кызматка жетиши керекпи?

Биринчи суроо маршруттоо бузулушун чыпкалоо бузулушунан ажыратат. Экинчиси маршрутту оңдоого таптакыр уруксат берилгенби деп айтат. Үчүнчүсү оңдоону өзгөртөт: маршрут чыгуучу трафикти оңдойт, ал эми жетүүгө мүмкүн болбогон кирүүчү кызмат адатта угуучунун байланышы жана кайтуу жолунун маселеси, аны маршрут андан да начарлатат.

Биринчи суроо: маршрут, чыпка же ат

Бир нерсе коштон мурун таблицаны окуңуз. Интерфейс индекси маанилүү, анткени төмөнкү ар бир маршрут буйругу ага бекитилген:

route print -4
Get-NetRoute -DestinationPrefix 192.168.1.0/24 | Format-Table InterfaceIndex,NextHop,RouteMetric

Түз туташкан subnet адатта туннель күйүп турганда да on-link маршрутту сактайт, ошондуктан жазуу бар болуп, трафик баары бир ишке ашпай калышы мүмкүн. Бул айкалыш маршруттоодон кийин иштеген чыпканын кол тамгасы, жана бул экинчи, такыраак маршрут эч нерсени өзгөртпөгөн учур.

Дарек жана ат боюнча өзүнчө текшериңиз. Эгер ping 192.168.1.50 жооп берсе, net view 192.168.1.50 бербесе, маршруттоо таблицасы эч качан маселе болгон эмес: туннель resolverди өзгөрттү жана жергиликтүү ат эми чечилбейт. Ага маршрут кошуу — куру бекер иш.

Экинчи суроо: gateway жергиликтүү LANга кирүүгө уруксат береби?

Коммерциялык кардар маршруттардан көбүрөөк нерсе орнотот. Ал туташуу учурунда саясат алат, жана бул саясат жергиликтүү тармакка ачык уруксатты камтышы мүмкүн. Cisco IPsec жайгаштырууларында топтук саясат split-tunneling жөндөөсүн жана жергиликтүү LANга кирүү үчүн өзүнчө флагды алып жүрөт; кардардагы белги кутучасы gateway четке кагышы мүмкүн болгон өтүнүч. AnyConnectте профиль splitтин кошуу жана чыгарып салуу тизмелерин жана ошол эле уруксатты башкарат. Windows RRASта эквиваленттери — профилдеги демейки gateway опциясы жана сервер берген статикалык маршруттар.

Флаг өчүк болгондо, документтелген жүрүм-турум — кардар түз туташкан subnetке трафикти тосот, ал тургай жарактуу, такыраак маршрут бар болсо да. Ошол себептен кардарга таандык эмес маршруттар да кошкондон кийин секунддар өтүп жоголушу мүмкүн: кардар өзүнө куруу айтылган абалды кайра куруп жатат, сиз менен күрөшпөйт.

Кардар журналы туташуу учурундагы чечимди жазат, жана аны окуу машинадагы ар кандай эксперименттен тезирээк. Эгер журнал жергиликтүү кирүү бөгөттөлгөнүн айтса, токтоңуз: буйрук сабындагы эч бир оңдоо буга туруштук бере албайт, жана калган жолдор — саясатты өзгөртүү, ресурска туннель аркылуу жетүү, же кардарды виртуалдык машинага камап, хостту жергиликтүү тармакта калтыруу.

Үчүнчү суроо: сизге кайсы багыт керек?

Жакын аппаратка чыгуучу трафик — маршруттоо суроосу. LAN префиксин жергиликтүү gatewayге туннелдин демейки маршрутунан басымдуу боло тургандай төмөн метрика менен багыттаңыз:

route add 192.168.1.0 mask 255.255.255.0 192.168.1.1 metric 1 if 12
route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 -p

Экинчи форма бир аппаратты бекемдейт, жана бир дарек бүт талап болгондо дал ушунү каалайсыз. netsh эквиваленти ошол эле чечимди индекстин ордуна интерфейс аты менен жазат:

netsh interface ipv4 add route prefix=192.168.1.0/24 interface=12 nexthop=192.168.1.1 store=persistent

Дарек менен маска дал келбесе, маршрут буйруктары Параметр туура эмес катасы менен ишке ашпайт, мисалы /24 маскасы бар хост дареги. Subnet маршруту үчүн тармак дарегин, ал эми бир хост үчүн хост маскасын колдонуңуз.

Кирүүчү трафик башкача. Ошол эле машинадагы VNC же SSH сервери кирүүчү туташууга жооптор VPN gateway аркылуу чыгып, эч качан кайтпаганда жетүүгө мүмкүн болбойт. Маршруттарга тийүүдөн мурун кызмат эмнени угуп жатканын текшериңиз:

netstat -ano | findstr :5900

Бир конкреттүү дарекке байланган угуучу экинчи интерфейсте жооп бербейт. Аны бардык интерфейстерге байлоо — атайын чечим, ал сиз ишенген тармак менен чектелген firewall эрежеси менен бирге кабыл алынат. Ошондон кийин гана маршрутту оңдоо кайтуу жолун калыбына келтирет.

Туура келген эң кичине өзгөртүүнү колдонуңуз

Дагы бир кеңири тараган кадам — IPv4 кеңейтилген касиеттеринде «Алыскы тармакта демейки gatewayди колдонуу» белгисин алуу. Бул интернет трафигин жергиликтүү кармайт, бирок бир убакта эки нерсе кылат: VPN демейки жол болууну токтотот, жана кардар алыскы тармак үчүн маршруттарды, multicastти кошкондо, алууну токтотот. Белгини алсаңыз, сервер ар бир кардарга керектүү конкреттүү алыскы префикстерди түртпөсө, алыскы LAN жоголот.

Бул асимметрия иш тартибин аныктайт. Эгер алыскы тарап толук жеткиликтүү бойдон калууга тийиш болсо, алыскы subnetтерди серверден түртүңүз жана жергиликтүү демейкиге тийбеңиз. Серверди өзгөртө албасаңыз, туннель берген дарек аркылуу алыскы префикске туруктуу маршрут кошуңуз, жана route print менен префикстин VPN интерфейсине, ал эми демейкинин дагы эле физикалык gatewayге көрсөтүп жатканын текшериңиз.

Андан кийин оңдоо кайра туташуудан аман каларын ырастаңыз, анткени туруктуу эмес маршруттар адаптер менен өлөт, жана ар бир туташуудан кийин иштеген скрипт алар үчүн чынчыл орун. Ошол эле сессияда бир жергиликтүү аппаратты жана бир алыскы ресурсту сынап көрүңүз, ажыратыңыз, кайра туташыңыз жана кайра сынаңыз. Эгер маршрут туура көрүнгөнү менен жергиликтүү аппарат дагы эле ишке ашпаса, экинчи суроого кайтыңыз: кардар чыпкалап жатат, жана жооп — саясатты өзгөртүү, экинчи атаандаш маршрут эмес.