Kodėl jūsų Windows VPN nužudo vietinį spausdintuvą ir kaip tai sustabdyti

Prijunkite VPN ir spausdintuvas dingsta, NAS bendrinimas nustoja atsidaryti, o nuotolinio darbalaukio sesija į gretimą kompiuterį baigiasi pagal laiko limitą. Niekas nesugedo. Klientas pridėjo numatytąjį maršrutą ir dabar valdo kiekvieną paskirties tašką, kurį nešiojamasis kompiuteris gali pavadinti, įskaitant tuos, kurie yra už trijų metrų. Tai yra visas mechanizmas, o pavadinti tai VPN gedimu yra būtent tai, kas vienos eilutės pataisymą paverčia palaikymo atveju.

Pirmiausia perskaitykite maršrutų lentelę

Prieš ką nors keisdami, nuskaitykite IPv4 lentelę su route print -4 ir išsaugokite išvestį. Prisijunkite, nuskaitykite dar kartą ir palyginkite eilutes 0.0.0.0: aktyvus numatytasis maršrutas nurodo sąsają, o jei ta sąsaja yra tunelis, vietinis spausdinimas ir naršymas pirmiausia siunčiami į biurą.

Antrojo stulpelio sąsajos numeris yra tai, į ką nuolatinis maršrutas turės remtis vėliau, todėl užsirašykite jį, kol tunelis įjungtas. Tai ir reikšmė, kuri pasikeičia adapterį sukūrus iš naujo, todėl prie jos prisegti maršrutai gali tyliai pergyventi savo naudingumą.

Pašalinkite numatytąjį maršrutą trimis būdais

Integruotame Windows profilyje valdiklis yra žymimasis langelis. Atidarykite ryšio ypatybes, IPv4, tada Išplėstinė, ir nuimkite Use default gateway on remote network žymą; naujesnė programėlė Nustatymai tą patį dialogą paslepia vienu sluoksniu giliau. Iš padidintų teisių komandinės eilutės tas pats pakeitimas yra vienas cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

OpenVPN profilis veikia kitaip, todėl jo elgsena klaidina tuos, kurie tikisi žymimojo langelio. Jo redirect-gateway def1 direktyva visai nepakeičia numatytojo maršruto; ji įdiegia du pusės intervalo maršrutus, 0.0.0.0/1 ir 128.0.0.0/1, kurie kartu įveikia numatytąjį jo neištrindami. Kadangi pirminis numatytasis išlieka, prefikso, nukreipto į net_gateway, pridėjimas tik tą prefiksą grąžina vietiniam maršrutizatoriui. Ši detalė paaiškina, kodėl def1 profilio pataisa yra prefikso maršrutas, o ne žymimasis langelis, kurio niekas neranda.

Grąžinkite tik tai, kas priklauso darbui

Kai numatytojo maršruto nėra, tunelis nieko neneša, todėl darbo prefiksai turi būti įvardyti aiškiai. Cmdlet, kuris susieja prefiksą su ryšiu, yra saugesnis už nuolatinį maršrutą, nes įdiegiamas tik tam ryšiui esant aktyviam ir nepriklauso nuo sąsajos numerio:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Senesnis būdas vis dar veikia ir vis dar yra kiekviename kontroliniame sąraše: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, su paties tunelio sąsajos indeksu ir šliuzo adresu. Jis išlieka po perkrovimų, o tai yra tikslas ir kartu pavojus, nes kitą kartą įjungus indeksas gali priklausyti kam nors kitam.

Likusį dalyką lemia metrikos. Jei ir fizinis, ir tunelio adapteris reikalauja maršruto tam pačiam prefiksui, laimi mažesnė metrika, o tunelio metrikos padidinimas yra teisėtas valdymas kliento pusėje, o ne triukas.

Kai serveris nusprendžia už jus

Klientas, kuris nepaiso jūsų žymimojo langelio, paprastai paklūsta politikai. Cisco profiliai turi Allow Local LAN Access nuostatą, o headend gali stumti tunnel-all politiką, kuri panaikina tai, ko klientas norėtų; privalomo tunelio diegime nėra vietinio jungiklio, kurį būtų galima perjungti. Skaitykite kliento žurnalą apie stumiamus maršrutus ir politikos eilutes, o ne tikrinkite to paties dialogo dar kartą.

Tada pažiūrėkite į vardų sprendimą, kuris yra atskiras nuo maršrutizavimo jungiklis. Padalintas tunelis vis tiek gali gauti vidinį resolver ir paieškos priesagą, todėl vietinis įrenginys pasiekiamas adresu ir nerandamas pagal vardą, kol DNS pusė taip pat nesutvarkyta.

Persidengimai yra kita problema

Jei namų LAN ir biuro LAN dalijasi prefiksu, pavyzdžiui, 192.168.0.0/24, joks maršrutas negali jų atskirti. Kiekvienas to diapazono paketas turi vieną paieškos rezultatą, o pataisa yra pernumeruoti vieną pusę arba pasiekti biurą per iš baseino išverstą adresą. Konkretesnių maršrutų pridėjimas tik perkelia, kuri tinklo pusė lūžta.

Baikite vienu patikrinimu, o ne penkiais: prisijunkite, tada paleiskite tracert prieš vidinį ir viešą hostą. Pirmasis šuolis turėtų skirtis, o jei nesiskiria, skaidymas neveikia, kad ir ką klientas praneštų. Tada vieną kartą prisijunkite iš naujo ir pakartokite, nes stumiami maršrutai grįžta su kiekviena sesija.