Эмне үчүн Windows VPN жергиликтүү принтерди өлтүрөт жана аны кантип токтотууга болот

VPNге туташыңыз жана принтер жок болуп кетет, NAS бөлүшүүсү ачылбай калат, жаныңыздагы машинага алыскы иш тактасынын сессиясынын убактысы бүтөт. Эч нерсе сынган жок. Кардар демейки маршрут кошуп, эми ноутбук ат койо ала турган ар бир багытты ээлейт, үч метр алыстыктагыларды да кошкондо. Бул — бүткүл механизм, ал эми муну VPN бузулушу деп атоо бир саптагы оңдоону колдоо ишине айландырат.

Алгач маршруттар таблицасын окуңуз

Бир нерсени өзгөртүүдөн мурун IPv4 таблицасын бул менен алыңыз: route print -4 жана чыгууну сактаңыз. Туташыңыз, кайра алыңыз жана 0.0.0.0 саптарды салыштырыңыз: активдүү демейки маршрут интерфейсти атайт, ал эми ошол интерфейс туннел болсо, жергиликтүү басып чыгаруу жана серептөө алгач кеңсеге жөнөтүлөт.

Экинчи мамычадагы интерфейс номери — туруктуу маршрут кийинчерээк шилтеме кылышы керек болгон маани, ошондуктан туннел күйүп турганда аны жазып алыңыз. Бул адаптер кайра түзүлгөндө өзгөрүүчү маани да, ошондуктан ага бекитилген маршруттар өз пайдасынан тынч өтүп кетиши мүмкүн.

Демейки маршрутту үч жол менен алып салыңыз

Курулган Windows профилинде башкаруу — белгилөө кутучасы. Туташуу касиеттерин ачыңыз, IPv4, анан Кеңири, жана Use default gateway on remote network белгисин алып салыңыз; жаңыраак Турамдар колдонмосу ошол эле диалогду бир катмар тереңирээк жашырат. Көтөрүлгөн буйрук сабынан ошол эле өзгөртүү бир cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

Бир OpenVPN профили башкача иштейт, ошондуктан анын жүрүм-туруму белгилөө кутучасын күткөндөрдү адаштырат. Анын redirect-gateway def1 директивасы демейки маршрутту такыр алмаштырбайт; ал жарым диапазондогу эки маршрутту орнотот, 0.0.0.0/1 жана 128.0.0.0/1, алар чогуу демейкини өчүрбөстөн жеңишет. Баштапкы демейки калгандыктан, net_gateway тарапка багытталган префиксти кошуу ошол префиксти гана жергиликтүү маршрутизаторго кайтарат. Ушул деталь def1 профили үчүн оңдоо эч ким таба албаган белгилөө кутучасы эмес, префикс маршруту экенин түшүндүрөт.

Жумушка таандык нерсени гана кайра кошуңуз

Демейки маршрут кеткенде туннел эч нерсе ташыбайт, ошондуктан иш префикстерин ачык атоо керек. Префиксти туташууга байлаган cmdlet туруктуу маршруттан коопсуз, анткени ал ошол туташуу күйүп турганда гана орнотулат жана интерфейс номеринен көз каранды эмес:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Эски ыкма дагы эле иштейт жана дагы эле ар бир текшерүү тизмесинде бар: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, туннелдин өзүнүн интерфейс индекси жана шлюз дареги менен. Ал кайра жүктөөлөрдөн аман өтөт, бул максат да, коркунуч да, анткени индекс кийинки жүктөөдө башка нерсеге таандык болушу мүмкүн.

Калганын метрикалар чечет. Эгер физикалык жана туннел адаптери экөө тең бирдей префикс үчүн маршрут талап кылса, төмөнкү метрика жеңет, ал эми туннелдин метрикасын көтөрүү — хак эмес, кардар тараптын мыйзамдуу башкаруусу.

Сервер сиздин ордуңузга чечкенде

Белгилөө кутучаңызды этибарга албаган кардар адатта саясатка баш ийет. Cisco профилдеринде Allow Local LAN Access параметри бар жана headend кардар каалагандын баарын жокко чыгарган tunnel-all саясатын түртүп жибере алат; милдеттүү туннел жайгаштырууда оодаруучу жергиликтүү өчүргүч жок. Ошол эле диалогду кайра текшерүүнүн ордуна кардар журналынан түртүлгөн маршруттарды жана саясат саптарын окуңуз.

Анан аттарды чечүүгө көңүл буруңуз, ал маршруттоодон өзүнчө өчүргүч. Бөлүнгөн туннел дагы эле ички resolver жана издөө суффиксин ала алат, ошондуктан жергиликтүү түзмөк дарек боюнча жеткиликтүү жана DNS тарабы да оңдолмонунча ат боюнча табылбайт.

Кабатташуу — башка маселе

Эгер үйдүн LAN жана кеңсенин LAN 192.168.0.0/24 сыяктуу префиксти бөлүшсө, эч бир маршрут аларды ажырата албайт. Ошол диапазондогу ар бир пакеттин издөө натыйжасы бир, ал эми оңдоо — бир тарапты кайра номери же кеңсеге бассейнден которулган дарек аркылуу жетүү. Так маршруттарды кошуу тармактын кайсы жарымы сынаарын гана жылдырат.

Беш эмес, бир текшерүү менен бүтүрүңүз: туташыңыз, анан tracert ички жана ачык хостко каршы иштетиңиз. Биринчи секирүү айырмаланышы керек, ал эми айырмаланбаса, кардар эмне деп билдирбесин, бөлүү күчүндө эмес. Анан бир жолу кайра туташып, кайталаңыз, анткени түртүлгөн маршруттар ар бир сессия менен кайтат.