Windows VPN pārvilina visu trafiku? Noņemiet noklusējuma maršrutu

Jūs pieslēdzaties biroja VPN, un katra pārlūka lapa sāk iet caur šo tīklu: failu serveris ir ātrs, viss pārējais ir lēns, filtrēts vai pazudis. Klients neuzvedas nepareizi; profils pieprasīja pilnu tuneli. Slēdzis, kas to aptur, ir viena atzīmes rūtiņa dialogā, kuru mūsdienu lietotne Iestatījumi nerāda, un vārteja katrā savienojumā atkal izsaka savu vārdu. Šī rokasgrāmata seko secībai, ko Windows saskarne patiešām piedāvā, un pēc tam aptver pārbaudes, kas joprojām neizdodas, kad maršrutu tabula izskatās pareiza.

Sāciet adaptera rekvizītos, nevis Iestatījumos

Lietotne Iestatījumi uzskaita profilu sadaļā Tīkls un internets, pēc tam VPN, bet parāda tikai vispārīgas opcijas. Lēmums par noklusējuma vārteju atrodas adapterī. Atveriet klasisko adapteru sarakstu ar Win+R un ncpa.cpl, ar labo peles pogu noklikšķiniet uz VPN savienojuma, izvēlieties Rekvizīti, izvēlieties Interneta protokols 4. versija, vēlreiz Rekvizīti un pēc tam Papildu. Noņemiet atzīmi Izmantot noklusējuma vārteju attālajā tīklā un apstipriniet izeju no visiem trim dialogiem.

Pirms testēšanas pieslēdzieties vēlreiz, jo atzīme tiek piemērota, kad tunelis tiek izveidots, un esošā sesija saglabā tabulu, ko tā izveidoja. Ja adapters trūkst, kamēr klients ir atvienots, pieslēdzieties vienreiz un atveriet logu vēlreiz. Piegādātāja klients, kas instalē TAP vai Wintun adapteri bez IPv4 rekvizītu lapas, šo dialogu vispār nav; viņiem tas pats lēmums ir sadalītā tuneļa opcija paša klienta iestatījumos, un adaptera atzīme ir nepareizā vieta, kur meklēt.

Tā pati izmaiņa no PowerShell

Profilam, kas izveidots Windows VPN krātuvē, iestatījumu var skriptēt, un tas ir tas, ko vēlaties, ja iekārta bieži tiek pārinstalēta:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Šis cmdlet sasniedz tikai šīs krātuves profilus. Trešās puses klienta pievienotais savienojums neparādīsies, un komanda neizdodas ar nosaukuma kļūdu, kas izskatās kā drukas kļūda. Ievērojiet arī to, ko slēdzis nedara: tas neļauj klientam instalēt noklusējuma maršrutu, bet neizdzēš maršrutus, ko vārteja uzspiež savienošanās laikā, tāpēc nākamā sadaļa daudzos tīklos joprojām ir vajadzīga.

Kad vārteja atkal uzspiež noklusējuma maršrutu

Vispirms izlasiet tabulu. Divi noklusējuma ieraksti ar atšķirīgiem metrikiem nozīmē, ka profila izmaiņa darbojās un uzspiestais maršruts to tomēr aizstāja:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Izdzēsiet tunelim piederošo noklusējuma maršrutu un paturiet fizisko. Izmantojiet saskarnes indeksu no trešās komandas, nevis adaptera aizstājvārdu, jo skripti, kas nodod aizstājvārdu, sabrūk, tiklīdz mainās parādītais nosaukums:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

Dzēšana aizved līdzi arī biroju, tāpēc pievienojiet korporatīvos prefiksus atpakaļ caur tuneļa vārteju. Šī ir rinda, ko cilvēki izlaiž, un tāpēc pēc veiksmīgas sadalītā tuneļa izmaiņas seko «VPN pārstāja darboties»:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Nekas no tā neiztur atkārtotu pieslēgšanos, un tā ir godīga uzvedība, nevis kļūda: adapters tiek pārbūvēts, un klients atkal piemēro to, par ko vienojušies profils un vārteja. Ja noklusējuma maršruts atgriežas katru reizi, vārteja ir konfigurēta atteikt sadalīto tuneli un turpinās to uzspiest vai pārtrauks sesiju. Tā ir tīkla operatora politika, un pieprasījums pieder tur, nevis vietējam skriptam, kas ar to cīnās reizi uz savienojumu.

Pēc vienas atkārtotas pieslēgšanās vēlreiz pārbaudiet DNS, IPv6 un metrikus

IPv4 noklusējuma maršruta noņemšana neko nepierāda par otru saimi vai vārdu izšķiršanu. Tunelis var pārvadāt IPv6, kamēr IPv4 noklusējums paliek lokāls, un uzspiests risinātāju saraksts var uzturēt iekšējos nosaukumus darbībā, kamēr vaicājumi, kas to izmanto, iet citu ceļu. Pārbaudiet visus trīs, pirms saucat to par pabeigtu:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

Ja stāvoklis atgriežas katrā savienojumā, pārvietojiet komandas uz darbību, kas tiek izpildīta pie savienošanās, nevis rediģējiet tabulu ar roku: plānots uzdevums, kas tiek palaists savienojuma notikumā, vai paša klienta sadalītā tuneļa iestatījums, ja tāds ir. Turiet saskarnes indeksu mainīgajā un meklējiet to izpildes laikā, jo tas var mainīties, kad adapteri tiek pievienoti vai noņemti.

Izlemiet, no kā atteicāties

Vietējo interneta trafiku birojs vairs neinspektē un nefiltrē, un visam, kas tiek publicēts tikai caur tuneli, tagad ir vajadzīgs savs maršruts. Dažas organizācijas sadalīto tuneli uzskata par politikas pārkāpumu, tāpēc apstipriniet to pirms pārvaldītas ierīces maiņas; uzspiests noklusējums dažkārt ir izpildes mehānisms, nevis nelaime. Set-VpnConnection dokumentācija uzskaita sadalītā tuneļa parametru un profilu tipus, uz kuriem tas attiecas.

Pēc tam pārbaudiet noteiktā secībā: kam pieder noklusējuma maršruts, parastā pārlūkošana, viens korporatīvais resursdators pēc adreses, viens iekšējais nosaukums un tie paši četri pēc vienas atkārtotas pieslēgšanās. Ja pārlūkošana darbojas un korporatīvais resursdators neizdodas, trūkst prefiksa maršruta, nevis noņemtā noklusējuma, un to salabot ir daudz lētāk nekā pārbūvēt profilu.