Windows VPN го презема целиот сообраќај? Отстранете ја стандардната рута

Се поврзувате со VPN-от на канцеларијата и секоја страница во прелистувачот почнува да оди преку таа мрежа: серверот за датотеки е брз, другото е бавно, филтрирано или исчезнато. Клиентот не се однесува погрешно; профилот побара целосен тунел. Прекинувачот што го запира е едно поле за штиклирање во дијалог што модерната апликација Поставки не го прикажува, а портата повторно има збор при секое поврзување. Овој водич ја следи наредбата што интерфејсот на Windows навистина ја прикажува, а потоа ги опфаќа проверките што се уште не поминуваат откако табелата со рути ќе изгледа исправна.

Започнете во својствата на адаптерот, не во Поставки

Апликацијата Поставки го наведува профилот под Мрежа и интернет, потоа VPN, но прикажува само општи опции. Одлуката за стандардната порта живее на адаптерот. Отворете го класичниот список на адаптери со Win+R и ncpa.cpl, десен клик на VPN-врската, изберете Својства, изберете Интернет протокол верзија 4, повторно Својства и потоа Напредно. Отстранете ја штиклирањето на Користи стандардна порта на оддалечената мрежа и потврдете го излезот од сите три дијалози.

Повторно поврзете се пред тестирањето, бидејќи полето се применува кога тунелот се воспоставува, а постојната сесија ја задржува табелата што ја изградила. Ако адаптерот недостасува додека клиентот е исклучен, поврзете се еднаш и повторно отворете го прозорецот. Клиент на добавувач што инсталира TAP или Wintun адаптер без страница со својства на IPv4 воопшто го нема овој дијалог; за нив истата одлука е опција за поделен тунел во поставките на самиот клиент, а полето на адаптерот е погрешно место за барање.

Истата промена од PowerShell

За профил создаден во складиштето на Windows VPN, поставката може да се скриптира, што е она што го сакате ако машината често се преинсталира:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Таа cmdlet достигнува само до профили во тоа складиште. Врска додадена од клиент на трета страна нема да се појави, а командата не успева со грешка во името што изгледа како печатна грешка. Забележете и што прекинувачот не прави: го спречува клиентот да инсталира стандардна рута, но не ги отстранува рутите што портата ги турка при поврзување, па следниот дел е се уште потребен на многу мрежи.

Кога портата ја турка стандардната рута назад

Прво прочитајте ја табелата. Два стандардни записи со различни метрики значат дека промената на профилот работеше и турнатата рута сепак ја замени:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Избришете ја стандардната рута што му припаѓа на тунелот и задржете ја физичката. Користете го индексот на интерфејсот од третата команда, не псевдонимот на адаптерот, бидејќи скриптите што пренесуваат псевдоним се кршат штом се промени прикажаното име:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

Бришењето ја зема канцеларијата со себе, па вратете ги корпоративните префикси преку портата на тунелот. Ова е линијата што луѓето ја прескокнуваат и затоа по успешна промена на поделен тунел следи „VPN-от престана да работи“:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Ништо од ова не преживува повторно поврзување, што е чесно однесување, а не грешка: адаптерот се преизградува и клиентот повторно го применува она за што се договориле профилот и портата. Ако стандардната рута се враќа секој пат, портата е конфигурирана да одбива поделен тунел и ќе продолжи да ја турка или ќе ја прекине сесијата. Тоа е политика на операторот на мрежата и барањето припаѓа таму, а не во локална скрипта што се бори со тоа еднаш по поврзување.

Проверете повторно DNS, IPv6 и метриките по едно повторно поврзување

Отстранувањето на стандардна рута IPv4 не докажува ништо за другото семејство или за разрешувањето имиња. Тунелот може да носи IPv6 додека IPv4 стандардната останува локална, а турнатиот список на резолвери може да ги одржува внатрешните имиња во работа додека барањата што го користат одат по друг пат. Проверете ги сите три пред да го прогласите за готово:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

Ако состојбата се враќа при секое поврзување, преместете ги командите во дејство при поврзување наместо рачно да ја уредувате табелата: закажана задача што се стартува на настанот за поврзување, или сопствената поставка за поделен тунел на клиентот каде што има. Чувајте го индексот на интерфејсот во променлива и барајте го при извршување, бидејќи може да се промени кога адаптерите се додаваат или отстрануваат.

Одлучете од што се откажавте

Локалниот интернет сообраќај повеќе не го инспектира или филтрира канцеларијата, и сето она што се објавува само преку тунелот сега бара сопствена рута. Некои организации поделениот тунел го сметаат за прекршување на политиката, па тоа потврдете го пред да смените управуван уред; турнатата стандардна рута понекогаш е механизам за спроведување, а не случајност. Документацијата на Set-VpnConnection го наведува параметарот за поделен тунел и типовите профили на кои се применува.

Потоа проверете по фиксен редослед: кому му припаѓа стандардната рута, обичното прелистување, еден корпоративен домаќин по адреса, едно внатрешно име и истите четири по едно повторно поврзување. Ако прелистувањето работи, а корпоративниот домаќин не успева, недостига префиксната рута, а не отстранетата стандардна, и тоа е далеку поевтино за поправка отколку преизградба на профилот.