Mengapa VPN Windows anda membunuh pencetak setempat dan cara menghentikannya

Sambungkan VPN dan pencetak hilang, perkongsian NAS berhenti dibuka, dan sesi Desktop Jauh ke mesin di sebelah anda tamat masa. Tiada apa yang rosak. Klien menambah laluan lalai dan kini memiliki setiap destinasi yang boleh dinamakan oleh komputer riba, termasuk yang tiga meter jauhnya. Itulah keseluruhan mekanisme, dan menyebutnya kerosakan VPN ialah apa yang menjadikan pembaikan satu baris sebagai kes sokongan.

Baca jadual laluan dahulu

Sebelum menukar apa-apa, tangkap jadual IPv4 dengan route print -4 dan simpan outputnya. Sambung, tangkap semula dan bandingkan baris 0.0.0.0: laluan lalai aktif menamakan antara muka, dan jika antara muka itu ialah terowong, percetakan dan pelayaran setempat dihantar ke pejabat dahulu.

Nombor antara muka dalam lajur kedua ialah apa yang perlu dirujuk oleh laluan kekal kemudian, jadi catatkannya semasa terowong aktif. Ia juga nilai yang berubah apabila penyesuai dicipta semula, sebab itulah laluan yang dipinkan padanya boleh senyap melepasi kegunaannya.

Buang laluan lalai, dengan tiga cara

Pada profil Windows terbina dalam, kawalannya ialah kotak semak. Buka sifat sambungan, IPv4, kemudian Lanjutan, dan kosongkan Use default gateway on remote network; aplikasi Tetapan yang lebih baharu menyembunyikan dialog yang sama satu lapisan lebih dalam. Dari gesaan yang ditinggikan, perubahan yang sama ialah satu cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

Satu OpenVPN profil berfungsi secara berbeza, sebab itulah tingkah lakunya mengelirukan mereka yang menjangka kotak semak. Arahan redirect-gateway def1 tidak menggantikan laluan lalai sama sekali; ia memasang dua laluan separuh julat, 0.0.0.0/1 dan 128.0.0.0/1, yang bersama-sama mengalahkan laluan lalai tanpa memadamnya. Oleh sebab lalai asal bertahan, menambah awalan yang menuju ke net_gateway hanya menghantar awalan itu kembali kepada penghala setempat. Perincian itulah yang menjelaskan mengapa pembaikan untuk profil def1 ialah laluan awalan dan bukan kotak semak yang tiada siapa dapat jumpa.

Tambah semula hanya apa yang milik kerja

Tanpa laluan lalai, terowong tidak membawa apa-apa, jadi awalan kerja mesti dinamakan secara jelas. Cmdlet yang mengikat awalan pada sambungan lebih selamat daripada laluan kekal, kerana ia hanya dipasang semasa sambungan itu aktif dan tidak bergantung pada nombor antara muka:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Pendekatan lama masih berfungsi dan masih ada dalam setiap senarai semak: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, dengan indeks antara muka dan alamat gerbang terowong itu sendiri. Ia kekal merentas but semula, itulah tujuannya dan juga bahayanya, kerana indeks itu mungkin milik sesuatu yang lain pada but seterusnya.

Selebihnya ditentukan oleh metrik. Jika kedua-dua penyesuai fizikal dan terowong menuntut laluan untuk awalan yang sama, metrik yang lebih rendah menang, dan menaikkan metrik terowong ialah kawalan sah di pihak klien, bukan penggodaman.

Apabila pelayan memutuskan untuk anda

Klien yang mengabaikan kotak semak anda biasanya mematuhi dasar. Profil Cisco membawa tetapan Allow Local LAN Access, dan headend boleh menolak dasar tunnel-all yang mengatasi apa yang klien mahukan; dalam penggunaan terowong wajib tiada suis setempat untuk ditukar. Baca log klien untuk laluan dan baris dasar yang ditolak daripada menyemak semula dialog yang sama.

Kemudian lihat penyelesaian nama, yang merupakan suis berasingan daripada penghalaan. Terowong berpecah masih boleh menerima resolver dalaman dan akhiran carian, jadi peranti setempat boleh dicapai melalui alamat dan tidak dapat ditemui melalui nama sehingga bahagian DNS juga dibetulkan.

Pertindihan ialah masalah yang berbeza

Jika LAN rumah dan LAN pejabat berkongsi awalan seperti 192.168.0.0/24, tiada laluan boleh membezakannya. Setiap paket untuk julat itu mempunyai satu hasil carian, dan pembaikannya ialah menomborkan semula satu pihak atau mencapai pejabat melalui alamat terjemahan daripada kolam. Menambah laluan yang lebih khusus hanya mengalihkan separuh rangkaian mana yang rosak.

Akhiri dengan satu pengesahan dan bukan lima: sambung, kemudian jalankan tracert terhadap hos dalaman dan hos awam. Hop pertama sepatutnya berbeza, dan jika tidak, pemisahan itu tidak berkuat kuasa walau apa pun yang dilaporkan oleh klien. Kemudian sambung semula sekali dan ulangi, kerana laluan yang ditolak kembali pada setiap sesi.