Dua VPN Windows Serentak: Profil Mana yang Mengekalkan Laluan Lalai?

Pasang terowong kedua dan yang pertama menjadi senyap, sementara kedua-dua klien masih melaporkan sambungan sihat. Windows hanya mempunyai satu laluan lalai untuk diberikan, dan setiap profil yang menuntutnya mengambilnya daripada yang lain. Gejalanya kelihatan seperti gangguan VPN, tetapi ia sebenarnya pertandingan penghalaan antara dua profil. Tentukan terowong mana yang harus memiliki laluan itu dan konfigurasi selebihnya akan mengikut.

Hanya satu entri boleh menjadi lalai terbaik

Jadual penghalaan IPv4 menyimpan satu laluan pemenang untuk destinasi yang tiada padanan lebih khusus. Profil VPN yang memasang laluannya sendiri menggantikan yang sebelumnya sebaik sahaja bersambung, dan trafik yang dahulunya masuk ke terowong pertama kini keluar melalui yang kedua. Terowong pertama kekal aktif; yang hilang ialah mana-mana paket yang akan menggunakannya untuk destinasi umum.

Ikon status klien tidak dapat menunjukkan perkara itu. Ia melaporkan bahawa terowong telah dibina, bukan awalan mana yang masih dihalakan ke sana, jadi pengguna melihat dua ikon hijau dan tamat masa dalam sesuatu aplikasi. Membaca route print -4 semasa kegagalan lebih bermaklumat daripada mana-mana log VPN.

Penyelesaian nama ialah konflik kedua yang bebas, dan membaiki jadual penghalaan sahaja tidak akan menyelesaikannya.

Apa yang dipasang kotak semak, dan apa yang dibuangnya

Pilihan ini terletak dalam sifat penyesuai setiap profil VPN di bawah tetapan lanjutan IPv4, dirumuskan sebagai penggunaan get laluan lalai pada rangkaian jauh. Apabila diaktifkan, setiap sambungan menambah laluan lalai melalui terowong dan meletakkan antara muka itu dalam baris gilir trafik umum. Apabila dinyahaktifkan, Windows mengekalkan laluan untuk subnet terowong itu sendiri dan membiarkan seluruh jadual tidak terganggu.

Ketika membuang kotak semak itulah kebanyakan orang tersekat. Tapak jauh biasanya mempunyai lebih daripada satu awalan, dan tiada satu pun awalan itu berada dalam subnet penyesuai, jadi pelayan fail dan alamat pengurusan berhenti menjawab. Kotak semak itu tidak memecahkan terowong; ia membuang laluan luas yang telah meliputi segala-galanya.

Konfigurasi bercampur adalah sah dan biasa: profil korporat mengekalkan kotak semak sebagai terowong penuh, manakala profil makmal dibahagikan supaya tidak dapat menyingkirkan lalai korporat.

Pilih mengikut apa yang setiap terowong mesti bawa

Tiga soalan menentukan susunannya. Perlukah terowong ini membawa trafik internet biasa, atau hanya alamat di dalam tapaknya sendiri? Adakah kedua-dua tapak menggunakan julat peribadi yang berasingan? Dan jika profil itu diuruskan oleh majikan, adakah anda dibenarkan mengubah tingkah laku penghalaannya sama sekali?

Jika satu terowong mesti penuh, ia memiliki laluan lalai dan yang satu lagi mesti dibahagikan. Jika tiada satu pun memerlukan trafik internet umum, buang kotak semak pada kedua-duanya dan biarkan penyesuai fizikal mengekalkan laluan lalai. Jika julatnya bertindih, berhenti: 172.22.0.0/16 tidak boleh bermaksud satu mesin di sebelah korporat dan satu lagi di sebelah makmal, dan tiada kotak semak menyelesaikannya.

Catatkan keputusan itu di sebelah nama profil. Jika tidak, VPN ketiga yang ditambah pada suku berikutnya akan mengulangi penyiasatan dari awal.

Tambah awalan yang hilang dan uji hasilnya

Bagi setiap terowong berpecah, tambah julat jauh secara jelas, dengan menggunakan alamat rakan sebaya yang ditunjukkan pada penyesuai itu dan bukannya alamat pelayan awam:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

Penyesuai PPP menggunakan alamat rakan sebayanya sebagai hop seterusnya, manakala penyesuai TAP biasanya menggunakan get laluan yang ditunjukkan pada antara muka itu, jadi baca butiran penyesuai dan bukannya menyalin nombor daripada panduan. Tambah bendera berterusan hanya selepas laluan terbukti betul, dan padam entri berterusan lama sebelum menambah pengganti. Klien terurus mungkin memasang dan melindungi laluan mereka sendiri, dan dalam kes itu pemilik profil mesti membuat perubahan.

DNS memerlukan pusingan berasingan. Kedua-dua terowong boleh menolak penyelesai, dan Windows menyimpan senarai bagi setiap antara muka dengan susunan keutamaan, jadi nama milik rangkaian kedua boleh dihantar kepada penyelesai rangkaian pertama. Lihat apa yang sebenarnya diterima setiap penyesuai sebelum memilih pembaikan:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Dasar penyelesaian nama bagi setiap domain biasanya lebih baik daripada menggantikan senarai penyelesai global, kerana senarai itu dikongsi oleh setiap aplikasi pada mesin dan mengubahnya secara senyap memindahkan carian yang tidak berkaitan.

Terima persediaan dengan empat pemeriksaan: satu sumber dalam setiap rangkaian jauh yang boleh dicapai melalui alamat, carian nama dalam setiap satu, lalai internet masih menghala ke penyesuai fizikal, dan sesi desktop jauh yang bertahan apabila sambungan kedua naik.