VPN blockéiert lokalen LAN op Windows: Route oder Clientpolitik?
Den Zougang zum lokalen LAN op Windows geet aus zwou verschiddene Grënn futti: eng feelend Route, oder eng Gatewaypolitik, déi d'Subnetz verwërft. Dräi Kontrollen soen, wéi eng.
En Drucker, e NAS oder eng Entwécklungsmaschinn op Ärem eegenen Dësch hält op ze äntweren, soubal de BeruffsvPN sech verbënnt. Heiansdo fixéiert eng Routekommando dat a Sekonnen; heiansdo ass déiselwecht Route richteg an d'Pakete verschwannen trotzdem, wat heescht, datt Dir en anere Problem mat engem ähnleche Symptom kuckt. D'Entscheedung reduzéiert sech op dräi Froen, an se an der falscher Reihenfolge ze stellen ass de Grond, firwat d'Leit en ganzen Owend domat verbréngen, Routen ze läschen an erëm derbäi ze setzen.
Dräi Froen virun all Kommando
Éischtens: ass et en Entrée fir de lokalen Prefix, an weist en op den physeschen Adapter? Zweetens: kritt de Client beim Verbannen eng Erlaabnis oder eng Refus vum lokalen Netz vum Gateway? Drëttens: braucht Dir nëmmen ausgänglechen Zougang zum LAN, oder muss och eppes um Internet en Déngscht erreechen, deen op Ärer Maschinn leeft?
Déi éischt Fro trennt e Routingfehler vun engem Filterfehler. Déi zweet seet, ob eng Routekorrektur iwwerhaapt däerf schaffen. Déi drëtt ännert d'Reparatur: eng Route fixéiert ausgänglechen Traffic, während en onerrechbaren agängegen Déngscht normalerweis e Problem vum Listener-Binding an dem Réckwee ass, dat eng Route verschlëmmert.
| What you see | What it points at |
|---|---|
| No local prefix in the table | Missing route |
| Correct prefix, no reply | Client filter or gateway policy |
| Works by IP, fails by name | Resolver changed by the tunnel |
| Inbound service dies, outbound fine | Return path or listener binding |
Fro éischt: Route, Filter oder Numm
Liest d'Tabell, ier Dir eppes derbäi setzt. Den Interfaceindex ass wichteg, well all Routekommando hei drënner drop verankert ass:
route print -4
Get-NetRoute -DestinationPrefix 192.168.1.0/24 | Format-Table InterfaceIndex,NextHop,RouteMetricEng direkt verbonnen Subnetz behält normalerweis eng On-Link-Route och wann den Tunnel uewen ass, sou datt en Entrée ka existéieren an den Traffic trotzdem ka versoen. Déi Kombinatioun ass d'Signatur vun engem Filter, deen nom Routing leeft, an dat ass de Fall, wou eng zweet, méi spezifesch Route guer näischt ännert.
Testt getrennt no Adress an no Numm. Wann ping 192.168.1.50 äntwert an net view 192.168.1.50 net, war d'Routentabell ni de Problem: den Tunnel huet de Resolver geännert an den lokalen Numm léist sech net méi op. Eng Route dofir derbäi ze setzen ass verschwend Aarbecht.
Fro zwee: erlaabt de Gateway den Zougang zum lokalen LAN?
E kommerziellen Client installéiert méi wéi Routen. Hie kritt beim Verbannen eng Politik, an déi Politik kann eng explizit Erlaabnis fir dat lokalt Netz enthalen. An Cisco IPsec-Installatiounen dréit d'Gruppepolitik d'Split-Tunneling-Astellung an eng separat Fändel fir den Zougang zum lokalen LAN; d'Kräizche am Client ass eng Ufro, déi de Gateway ka refuséieren. An AnyConnect steiert de Profil d'Split-Inklusiouns- an Exklusiounslëschten an déiselwecht Erlaabnis. Op Windows RRAS sinn d'Äquivalenter d'Optioun Standardgateway am Profil plus déi statesch Routen, déi de Server zoudeelt.
Wann de Fändel aus ass, ass dat dokumentéiert Verhalen, datt de Client den Traffic zu der direkt verbonnener Subnetz blockéiert, obwuel eng gëlteg, méi spezifesch Route existéiert. Dat ass och de Grond, firwat Routen, déi de Client net besëtzt, Sekonnen nodeems Dir se derbäi gesat hutt ka verschwannen: de Client baut de Staat erëm op, deen him gesot gouf ze bauen, an kämpft net géint Iech.
De Clientlog hält d'Entscheedung beim Verbannen fest, an en ze liesen ass méi séier wéi all Experiment op der Maschinn. Wann de Log seet, datt den lokalen Zougang blockéiert ass, stoppt: keng Kommandozeilekorrektur iwwerlieft dat, an déi eenzeg Weeër déi bleiwen sinn eng Politikännerung, d'Erreeche vun der Ressource duerch den Tunnel, oder de Client an enger virtueller Maschinn anzemaachen an den Host am lokalen Netz ze loossen.
Fro dräi: wéi eng Richtung braucht Dir?
Ausgänglechen Traffic zu engem noen Apparat ass eng Routingfro. Richt den LAN-Prefix op de lokale Gateway mat enger Metrik, déi niddreg genuch ass fir d'Standardroute vum Tunnel ze schloen:
route add 192.168.1.0 mask 255.255.255.0 192.168.1.1 metric 1 if 12
route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 -pDéi zweet Form fixéiert een eenzegen Apparat, wat Dir wëllt, wann eng Adress déi ganzen Ufuerderung ass. D'Äquivalent vun netsh hält déiselwecht Entscheedung no dem Interfacenumm amplaz nom Index fest:
netsh interface ipv4 add route prefix=192.168.1.0/24 interface=12 nexthop=192.168.1.1 store=persistentRoutekommandos versoen mat De Parameter ass falsch, wann d'Adress an d'Mask net iwwerenee stëmmen, zum Beispill eng Hostadress mat enger /24-Mask. Benotzt d'Netzadress fir eng Subnetzroute an eng Hostmask fir een eenzegen Host.
Agänglech ass anescht. En VNC- oder SSH-Server op der selwechter Maschinn gëtt onerrechbar, wann d'Äntwerten op eng agängeg Verbindung duerch de VPN-Gateway erausgoen an ni zréckkommen. Kontrolléiert, op wat den Déngscht lauschtert, ier Dir Routen ufaasst:
netstat -ano | findstr :5900En Listener, deen un eng bestëmmten Adress gebonnen ass, äntwert net op dem aneren Interface. En un all Interfaces ze bannen ass eng bewosst Entscheedung, geholl zesumme mat enger Firewallregel, déi op d'Netz begrenzt ass, deem Dir vertraut. Eréischt duerno stellt d'Routereparatur de Réckwee erëm hier.
Wend déi klengst Ännerung un, déi passt
Déi aner heefeg Beweegung ass d'Kräizche bei „Standardgateway am eniwen Netz benotzen“ an den erweiderten IPv4-Eegeschaften ewech ze huelen. Dat hält den Internettraffic lokal, awer mécht zwee Saachen op eemol: de VPN ass net méi de Standardwee, an de Client kritt keng Routen méi fir dat eniwen Netz, inklusiv multicast. Huelt et ewech an den eniwen LAN verschwënnt, ausser de Server dréckt déi spezifesch eniw Portfixen, déi all Client braucht.
Déi Asymmetrie entscheet d'Aarbechtsreihenfolge. Wann déi eniw Säit voll erreechbar muss bleiwen, dréckt eniw Subnetzen vum Server an loosst de lokalen Standard a Rou. Wann Dir de Server net ännere kënnt, setzt eng permanent Route zum eniw Prefix duerch d'Adress derbäi, déi den Tunnel zougedeelt huet, a kontrolléiert mam route print, datt de Prefix op den VPN-Interface weist, während den Standard nach ëmmer op de physesche Gateway weist.
Bestätegt duerno, datt d'Reparatur en Neiverbannen iwwerlieft, well net-permanent Routen mam Adapter stierwen an e Skript, dat no all Verbindung leeft, dee éierleche Plaz fir si ass. Testt een lokalen Apparat an eng eniw Ressource an der selwechter Sëtzung, trennt, verbënnt erëm a testt nach eng Kéier. Wann den lokalen Apparat nach ëmmer versoe, während d'Route richteg ausgesäit, gitt zréck op d'Fro zwee: de Client filtert, an d'Äntwert ass eng Politikännerung an net eng zweet konkurréierend Route.