Kif tivverifika x'inhu fil-fatt jirrotta VPN fuq Windows fil-PowerShell
Madum VPN konness ma jipprovax kopertura. Aqra l-bandiera tal-profil salvata, it-tabella tar-rotot live u r-regoli NRPT f'dan l-ordni.
Qabbadt il-klijent VPN fuq laptop Windows 11, il-maduma marret għal Connected, fetaħ taqsim ta' fajls intern, u sit pubbliku baqa' jitgħabba direttament mill-Wi-Fi tal-uffiċċju. Dan it-taħlit jidher bħal mina miksura. Huwa l-output normali ta' profil li jibgħat parti mit-traffiku mill-VPN u jħalli l-bqija fuq l-adapter fiżiku. It-tunnellar sfurzat ibiddel liema rotta default Windows jippreferi; ma jħassarx rotot aktar speċifiċi u ma jwegħedx li t-traffiku jieqaf meta l-konnessjoni taqa'. Dak li ġej huwa l-ordni li nimxi meta klijent jallega kopertura: stat tal-klijent, profil salvat, rotot applikati, resolver, imbagħad flussi reali.
Ibda mill-klijent, imbagħad tieqaf tafdah
Il-klijent huwa l-post tajjeb biex tibda biss għax jgħidlek liema profil huwa attiv. Iftaħ il-proprjetajiet tal-konnessjoni u noti l-isem eżatt tal-profil, jekk inħoloqx għall-utent attwali jew għal kulħadd fuq il-magna, u liema adapter jidher f'ncpa.cpl wara li tikkonnettja. Fil-laptop tat-test tiegħi l-adapter kien iġorr l-isem tal-profil, u dan għamel l-output tar-rotot faċli biex tinqara. Fuq magni oħra jidher bħala entrata WAN Miniport u l-isem ma jgħidlek xejn.
Dak li l-klijent ma jistax jgħidlek huwa l-kopertura. Maduma konnessa tiddeskrivi l-istat tal-mina, mhux inventarju tad-destinazzjonijiet. Klijenti ta' partijiet terzi wkoll iżommu l-konfigurazzjoni tagħhom, għalhekk il-profil nattiv ta' Windows, u kull proprjetà li se taqra minnu, jista' ma jkollhom xejn x'jaqsmu ma' dak li installa dak il-klijent. Jekk il-VPN wasal permezz ta' AnyConnect, OpenVPN GUI, WireGuard jew aġent tal-fornitur, il-verifiki PowerShell hawn taħt fil-biċċa l-kbira ma japplikawx u għandek minflok taqra s-settings tal-split-tunnel u r-routing ta' dak il-klijent stess.
Aqra l-profil salvat, mhux il-maduma
Għal profil nattiv ta' Windows (IKEv2, L2TP, SSTP jew ieħor imbuttat mill-MDM) id-deċiżjoni salvata tal-split-tunnel hija proprjetà waħda:
Get-VpnConnection -Name 'Office' | Select-Object Name, ServerAddress, SplitTunneling, DnsSuffixŻid -AllUserConnection meta l-profil inħoloq għal kulħadd fuq l-apparat. Mingħajrha taqra l-lista tal-utent attwali, li tista' tkun vojta jew iżżomm entrata oħra b'isem simili. Il-valur False f'SplitTunneling ifisser li l-profil ġie salvat bħala mina sħiħa: Windows jinstalla rotta default mill-adapter VPN. True ifisser split tunnel, u l-kopertura mbagħad tiddependi kompletament mir-rotot u r-regoli tal-riżoluzzjoni tal-ismijiet li jimbotta dak il-profil.
Ittratta dak il-valur bħala konfigurazzjoni, mhux bħala osservazzjoni. Huwa jirreġistra dak li talab il-profil fil-ħin tal-konnessjoni. Windows jista' jispiċċa b'rotot applikati differenti, minħabba rotta aktar speċifika ta' interface ieħor, setting ta' politika jew entrata li fdal minn konnessjoni preċedenti, għalhekk il-Boolean qatt ma jsolvi l-mistoqsija waħdu.
Qabbel il-valur salvat mat-tabella tar-rotot applikata
Wara li tikkonnettja, elenka r-rotot fuq l-adapter tal-mina minflok ma tgħaddi mit-tabella kollha:
$vpn = Get-NetAdapter | Where-Object InterfaceDescription -match 'VPN|WAN Miniport'
Get-NetRoute -InterfaceIndex $vpn.ifIndex | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.20.4.15 | Select-Object -First 1Find-NetRoute huwa n-nofs utli. Huwa jwieġeb il-mistoqsija li l-klijent qatt ma jwieġeb: għal din id-destinazzjoni, liema interface u liema indirizz sors se juża Windows fil-fatt? Mexxiha għal host intern, host pubbliku u kull ma taħseb li hija eċċezzjoni deliberata. Profil ta' mina sħiħa għandu juri l-interface tal-mina għall-indirizz pubbliku. Profil split tunnel normalment juri l-adapter fiżiku hemmhekk waqt li l-prefissi interni xorta jiġu riżolti lejn il-VPN.
Żewġ nases jispjegaw il-biċċa l-kbira tar-rapporti «qed jirrotta l-mod ħażin». L-aktar prefiss speċifiku dejjem jirbaħ, għalhekk /24 fuq l-adapter fiżiku jegħleb rotta default fuq il-VPN kemm hi baxxa l-metrika tal-mina. Il-metrika biss taqta' pari bejn rotot għall-istess prefiss. U IPv4 u IPv6 jiġu deċiżi separatament: profil li jkopri 0.0.0.0/0 jista' jħalli IPv6 fuq il-link lokali, u dan jagħmel sit b'żewġ stacks jidher nofsu tunneljat. Iċċekkja Get-NetRoute -AddressFamily IPv6 qabel ma tikkonkludi li l-mina hija tajba.
| What you see | Most likely cause | Check next |
|---|---|---|
| Public traffic leaves the physical adapter while SplitTunneling reads False | A more specific route on that adapter wins over the tunnel default | Find-NetRoute for the exact destination, then look for a /24 or host route on the physical interface |
| Internal name fails, internal IP works | No NRPT rule for that namespace, or a broader rule matches first | Get-DnsClientNrptPolicy and the namespace order |
| A dual-stack site opens directly while IPv4 uses the tunnel | The profile covers only the IPv4 default route | The IPv6 route table on both interfaces |
| Routes look right but one app still goes direct | The app uses its own proxy, or the client keeps a per-app list | The app's proxy settings and the client's application list |
Iċċekkja r-riżoluzzjoni tal-ismijiet separatament bl-NRPT
Ismijiet interni li jfallu waqt li l-indirizzi IP interni jaħdmu jindikaw politika tar-resolver, mhux routing. Windows jiddeċiedi d-DNS għal kull spazju tal-ismijiet permezz tat-tabella tal-politika tar-riżoluzzjoni tal-ismijiet, li hija indipendenti mit-tabella tar-rotot:
Get-DnsClientNrptPolicy -Effective | Select-Object Namespace, NameServers
Get-DnsClientServerAddress -InterfaceIndex $vpn.ifIndexMeta regola taqbel ma' *.corp.example, il-mistoqsijiet għal dak l-ispazju tal-ismijiet imorru għas-servers DNS tal-mina anke jekk il-passaġġ tad-dejta lejn dawk is-servers jibqa' fuq l-adapter fiżiku fil-modalità split tunnel. Dan huwa d-disinn, u għalhekk test tal-browser li jiftaħ sit pubbliku ma jgħidlek xejn dwar ismijiet interni. Jekk l-adapter jelenka s-servers mistennija iżda t-tiftix xorta jmur x'imkien ieħor, qabbel l-ordni tar-regoli NRPT u ċċekkja jekk spazju tal-ismijiet aktar speċifiku jaqbilx l-ewwel.
Ivverifika l-flussi, imbagħad iddeċiedi x'talb fil-fatt
Għaddi mid-destinazzjonijiet f'ordni fissa sabiex ir-riżultati jkunu komparabbli bejn il-magni: indirizz pubbliku, indirizz intern, isem intern u eċċezzjoni waħda deliberata bħal printer lokali jew video call. Nota l-interface u l-indirizz sors li Find-NetRoute jirritorna għal kull waħda. Wara kull bidla fil-politika, erġa' kkonnettja u erġa' agħmel l-istess erba' verifiki; it-tabella tar-rotot wara li terġa' tikkonnettja hija l-unika prova li l-profil il-ġdid daħal fis-seħħ.
Imbagħad aqsam ir-routing mill-infurzar. It-tunnellar sfurzat jippreferi l-mina għat-traffiku kopert waqt li tkun miżmuma. Mhuwiex kill switch. Jekk il-ħtieġa hija li xejn ma joħroġ mill-magna meta l-mina taqa', dan irid jiġi minn disinn li jimblokka: profil tal-firewall marbut mal-istat tal-mina, profil dejjem mixgħul b'filtri tat-traffiku jew l-għażla tal-klijent tal-fornitur stess li jagħlaq fil-falliment. It-tunnellar sfurzat irid ukoll iħalli l-indirizz tas-server VPN innifsu aċċessibbli barra mill-mina, u li timblokkaha f'isem «tisforza kollox» hija mod affidabbli kif tissakkar barra mill-konnessjoni li qed tipprova tinforza.
Qabel ma tbiddel xejn, għaddi minn din il-lista. Kull oġġett li jfalli jnaqqas fejn qiegħed il-problema reali.
- Isem u ambitu tal-profil ikkonfermati, bl-
-AllUserConnectionużat għall-profil tal-magna kollha. SplitTunnelingmaqru u ttrattat bħala konfigurazzjoni, mhux prova ta' kopertura.- Rotot tal-adapter tal-mina elenkati separatament għal IPv4 u IPv6.
Find-NetRouteimħaddem għal destinazzjoni pubblika waħda, interna waħda u eċċezzjoni waħda.- Regoli NRPT iċċekkjati qabel ma ntwahħlu l-ħtija fuq ir-rotot għal falliment ta' isem.
- Il-ħtieġa tal-imblukkar inqrat mill-ġdid: ir-routing preferut mhuwiex l-istess bħall-imblukkar infurzat.
Id-deċiżjoni tal-mina sħiħa jew split tappartjeni lil min jippossjedi l-profil, u n-noti tar-routing ta' Microsoft jiddeskrivu l-imġiba li Windows jimplimenta meta profil jistabbilixxiha. Microsoft: tunnellar sfurzat u split hija r-referenza li nżomm miftuħa waqt li naqra l-output.