Windows-VPN hëlt Ären ganzen Traffic? Entfernt seng Standardroute

Dir verbënnt Iech mam Büro-VPN an all Säit am Browser fänkt un, duerch dee Netz ze goen: de Fichierserver ass séier, alles anescht ass lues, gefiltert oder fort. Den Client behält sech net falsch; de Profil huet een vollstännegen Tunnel verlaangt. Den Ausschalter, deen dat stoppt, ass eng Këscht an engem Dialog, deen déi modern Astellungs-App net weist, an de Gateway huet bei all Verbindung nees e Wuert matzedeelen. Dës Uleedung follegt der Rei, déi d'Windows-Interface tatsächlech presentéiert, an deckt duerno d'Kontrollen of, déi nach ëmmer feelen, wann d'Routentabell richteg ausgesäit.

Fänkt an den Adaptereigenschaften un, net an den Astellungen

D'Astellungs-App listet de Profil ënner Netz an Internet, duerno VPN, awer si weist nëmmen allgemeng Optiounen. D'Decisioun iwwer de Standardgateway läit um Adapter. Maacht d'klassesch Adapterlëscht mat Win+R an ncpa.cpl op, klickt riets op d'VPN-Verbindung, wielt Eigenschaften, wielt Internetprotokoll Versioun 4, wielt nach eng Kéier Eigenschaften an duerno Erweidert. Huelt d'Kräizchen bei Standardgateway am Remote-Netz benotzen ewech a bestätegt den Ausgang aus allen dräi Dialogen.

Verbënnt Iech virum Testen nei, well d'Kräizchen beim Opbau vum Tunnel gëllt an eng bestoend Sëtzung d'Tabell behält, déi si gebaut huet. Wann den Adapter feelt, wärend den Client getrennt ass, verbënnt Iech eemol a maacht d'Fënster nees op. En Hierstellerclient, deen en TAP- oder Wintun-Adapter ouni IPv4-Eigenschaftesäit installéiert, huet dësen Dialog guer net; fir déi ass déiselwecht Decisioun eng Split-Tunnel-Optioun an den eegenen Astellungen vum Client, an d'Kräizchen um Adapter ass déi falsch Plaz fir ze sichen.

Déiselwecht Ännerung aus PowerShell

Fir e Profil, deen am Windows-VPN-Späicher ugeluecht gouf, ass d'Astellung skriptbar, wat Dir wëllt, wann de Rechner dacks nei opgesat gëtt:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Dee Cmdlet erreecht nëmme Profiler an deem Späicher. Eng Verbindung, déi vun engem Drëttanbieter-Client dobäi kënnt, erschéngt net, an de Kommando schléit mat engem Nummfehler feel, dee wéi en Tippfehler liest. Notéiert och, wat den Ausschalter net mécht: hie verhënnert, datt den Client eng Standardroute installéiert, awer hie läscht keng Routen, déi de Gateway bei der Verbindung dréckt, also ass den nächsten Abschnitt op ville Netzwierker nach ëmmer néideg.

Wann de Gateway d'Standardroute zréckdréckt

Liest d'Tabell als éischt. Zwee Standardentréen mat ënnerschiddleche Metriken heescht, datt d'Profilännerung gewierkt huet an déi gedréckt Route si trotzdeem ersat huet:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Läscht d'Standardroute, déi zum Tunnel gehéiert, a behält déi physesch. Benotzt den Interface-Index aus dem drëtte Kommando, net den Adapteralias, well Skripten, déi en Alias duerchginn, briechen, soubal den Unzeigenumm sech ännert:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

D'Läschen hëlt de Büro mat, also setzt d'Firmeprefixen iwwer den Tunnel-Gateway erëm dobäi. Dat ass d'Linn, déi d'Leit iwwersprangen, an dat ass de Grond, firwat op eng erfollegräich Split-Tunnel-Ännerung «den VPN huet opgehalen ze schaffen» follegt:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Näischt vun dësem iwwerlieft eng Neiverbindung, wat éierlech Verhalen an net e Feeler ass: den Adapter gëtt nei gebaut an de Client setzt erëm ëm, wat de Profil an de Gateway ofgemaach hunn. Wann d'Standardroute all Kéier erëmkënnt, ass de Gateway esou konfiguréiert, datt hien Split-Tunneling refuséiert, an dréckt se weider oder trennt d'Sëtzung. Dat ass d'Politik vum Netzwierkbedreiwer, an d'Ufro gehéiert dohinner an net an e lokale Skript, deen all Kéier pro Verbindung dogéint kämpft.

Iwwerpréift DNS, IPv6 an d'Metriken no enger Neiverbindung

D'Entferne vun enger IPv4-Standardroute beweist näischt iwwer déi aner Famill oder iwwer d'Nimmop léisung. En Tunnel kann IPv6 droen, wärend den IPv4-Standard lokal bleift, an eng gedréckt Resolverlëscht kann intern Nimm um Lafe halen, wärend d'Froen, déi se benotzen, en anere Wee ginn. Préift all dräi, ier Dir et fäerdeg nennt:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

Wann den Zoustand bei all Verbindung zréckkënnt, plazéiert d'Kommandos an eng Aktioun pro Verbindung amplaz d'Tabell vun Hand ze änneren: eng geplangte Aufgab, déi beim Verbindungsevenement gestart gëtt, oder d'Split-Tunnel-Astellung vum Client selwer, wou et eng gëtt. Halt den Interface-Index an enger Variabel a sicht en zur Lafzäit, well hie sech ka änneren, wann Adaptere dobäikommen oder ewechgeholl ginn.

Entscheet, op wat Dir verzicht hutt

Lokalen Internet-Traffic gëtt net méi vum Büro iwwerpréift oder gefiltert, an alles, wat nëmmen iwwer den Tunnel publizéiert gëtt, brauch elo seng eegen Route. Een Organisatiounen betrachten Split-Tunneling als Politikverstouss, also bestätegt dat, ier Dir en verwaltent Gerät ännert; eng gedréckt Standardroute ass heiansdo de Mëttel fir d'Durchsetzung an net en Ongléck. D'Dokumentatioun vu Set-VpnConnection listet de Split-Tunneling-Parameter an d'Profiltypen, fir déi en zoutrëfft.

Verifizéiert duerno an enger fester Rei: wiem d'Standardroute gehéiert, gewéinlech Surfen, ee Firmenhost iwwer d'Adress, een internen Numm, an déiselwecht véier no enger eenzeger Neiverbindung. Wann Surfen funktionéiert an de Firmenhost feelt, da fehlt d'Präfixroute an net de Standard, deen Dir ewechgeholl hutt, an dat ass vill méi bëlleg ze flécken wéi de Profil nei ze bauen.