Kāpēc jūsu Windows VPN nogalina vietējo printeri un kā to apturēt

Pieslēdziet VPN un printeris pazūd, NAS koplietojums vairs neveras, un attālinātās darbvirsmas sesija uz blakus esošo mašīnu beidzas ar taimautu. Nekas nesabojājās. Klients pievienoja noklusējuma maršrutu un tagad pārvalda katru galamērķi, ko klēpjdators var nosaukt, tostarp tos, kas atrodas trīs metru attālumā. Tas ir viss mehānisms, un nosaukt to par VPN kļūdu ir tieši tas, kas vienas rindas labojumu pārvērš atbalsta gadījumā.

Vispirms izlasiet maršrutu tabulu

Pirms kaut ko mainīt, uzņemiet IPv4 tabulu ar route print -4 un saglabājiet izvadi. Pieslēdzieties, uzņemiet vēlreiz un salīdziniet rindas 0.0.0.0: aktīvais noklusējuma maršruts nosauc saskarni, un, ja šī saskarne ir tunelis, vietējā drukāšana un pārlūkošana vispirms tiek sūtīta uz biroju.

Saskarnes numurs otrajā kolonnā ir tas, uz ko pastāvīgam maršrutam vēlāk būs jāatsaucas, tāpēc pierakstiet to, kamēr tunelis ir aktīvs. Tas ir arī vērtība, kas mainās, kad adapteris tiek izveidots no jauna, tāpēc tam piesaistītie maršruti var klusi pārdzīvot savu lietderību.

Noņemiet noklusējuma maršrutu, trīs veidos

Iebūvētā Windows profilā vadība ir izvēles rūtiņa. Atveriet savienojuma rekvizītus, IPv4, pēc tam Papildu, un notīriet Use default gateway on remote network; jaunākā lietotne Iestatījumi slēpj to pašu dialogu vienu slāni dziļāk. No paaugstinātas komandrindas tā pati izmaiņa ir viens cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

OpenVPN profils darbojas citādi, tāpēc tā uzvedība mulsina tos, kas gaida izvēles rūtiņu. Tā redirect-gateway def1 direktīva nemaz neaizstāj noklusējuma maršrutu; tā instalē divus pusdiapazona maršrutus, 0.0.0.0/1 un 128.0.0.0/1, kas kopā pārspēj noklusējuma maršrutu, to nedzēšot. Tā kā sākotnējais noklusējums paliek, prefiksa, kas vērsts uz net_gateway, pievienošana sūta atpakaļ uz vietējo maršrutētāju tikai šo prefiksu. Šī detaļa izskaidro, kāpēc def1 profila labojums ir prefiksa maršruts, nevis izvēles rūtiņa, ko neviens neatrod.

Pievienojiet atpakaļ tikai to, kas pieder darbam

Bez noklusējuma maršruta tunelis neko neeksportē, tāpēc darba prefiksi ir skaidri jānosauc. Cmdlet, kas piesaista prefiksu savienojumam, ir drošāks par pastāvīgu maršrutu, jo tas tiek instalēts tikai tad, kamēr šis savienojums ir aktīvs, un nav atkarīgs no saskarnes numura:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Vecākā pieeja joprojām darbojas un joprojām ir katrā kontrolsarakstā: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, ar paša tuneļa saskarnes indeksu un vārtejas adresi. Tas saglabājas pēc pārstartēšanas, kas ir mērķis un arī bīstamība, jo indekss nākamajā startā var piederēt kaut kam citam.

Pārējo izlemj metrikas. Ja gan fiziskais, gan tuneļa adapteris pieprasa maršrutu vienam un tam pašam prefiksam, uzvar zemākā metrika, un tuneļa metrikas paaugstināšana ir leģitīma klienta puses vadība, nevis haks.

Kad serveris izlemj jūsu vietā

Klients, kas ignorē jūsu izvēles rūtiņu, parasti pakļaujas politikai. Cisco profiliem ir Allow Local LAN Access iestatījums, un headend var nosūtīt tunnel-all politiku, kas atceļ to, ko klients labprāt izvēlētos; obligātā tuneļa izvietojumā nav vietēja slēdža, ko pārslēgt. Lasiet klienta žurnālu par nosūtītajiem maršrutiem un politikas rindām, nevis vēlreiz pārbaudiet to pašu dialogu.

Pēc tam apskatiet nosaukumu atrisināšanu, kas ir atsevišķs slēdzis no maršrutēšanas. Sadalīts tunelis joprojām var saņemt iekšēju resolver un meklēšanas sufiksu, tāpēc vietējā ierīce ir sasniedzama pēc adreses un nav atrodama pēc nosaukuma, kamēr arī DNS puse nav salabota.

Pārklāšanās ir cita problēma

Ja mājas LAN un biroja LAN dala prefiksu, piemēram, 192.168.0.0/24, neviens maršruts nevar tās atšķirt. Katram šī diapazona paketam ir viens meklēšanas rezultāts, un labojums ir pārnumurēt vienu pusi vai sasniegt biroju caur tulkotu adresi no baseina. Konkrētāku maršrutu pievienošana tikai pārvieto, kura tīkla puse lūst.

Pabeidziet ar vienu pārbaudi, nevis piecām: pieslēdzieties, pēc tam palaidiet tracert pret iekšējo un publisko resursdatoru. Pirmajam lēcienam jāatšķiras, un, ja tas neatšķiras, sadalījums nav spēkā neatkarīgi no tā, ko klients ziņo. Pēc tam vienreiz pieslēdzieties no jauna un atkārtojiet, jo nosūtītie maršruti atgriežas ar katru sesiju.