Skriveren er frakoblet når VPN kobles til? Sjekk rutetabellen

Den bærbare datamaskinen din kobler seg til bedrifts-VPN-et, og skriveren to meter unna slutter å svare. Ingenting er endret på skriveren, og det lokale nettverket er ikke nede. Det som er endret, er rutetabellen: tunneladapteren eier nå en vei som dekker skriveradressen, så disse pakkene forlater gjennom VPN-et og ankommer en gateway som ikke aner hvor det flate nettverket ditt er. Gå gjennom de fire kontrollene nedenfor i rekkefølge, og stopp ved den første som feiler.

Trinn én: bevis at skriveren fortsatt er tilgjengelig på LAN-et

Før du rører rutingen, må du bekrefte at enheten lever for noe som ikke bruker VPN-et. Be en telefon på samme Wi-Fi åpne nettsiden til skriveren, eller ping adressen fra en annen maskin på det flate nettverket. Hvis skriveren ikke svarer der heller, er VPN-et en tilfeldighet, og feilen ligger hos skriveren, Wi-Fi-tilkoblingen dens eller klientisolering på aksesspunktet.

Hvis den svarer overalt unntatt på denne bærbare, har du et ruting- eller navneoppløsningsproblem som bor på den bærbare, og neste trinn forteller deg hvilket av de to det er.

Trinn to: finn ruten Windows faktisk velger

Ikke les tabellen ovenfra og ned og gjett. Spør Windows hvilken oppføring den velger for den nøyaktige adressen du bryr deg om, og hent grensesnittindeksen samtidig.

Find-NetRoute -RemoteIPAddress 192.168.1.50
route print -4
tracert -d 192.168.1.50

Find-NetRoute skriver ut den vinnende ruten og grensesnittet dens, og det er de to fakta alt annet avhenger av. route print -4 viser oppføringene rundt, inkludert de to halvstandardrutene som fulltunnelklienter installerer: 0.0.0.0/1 og 128.0.0.0/1, som sammen dekker hele IPv4-rommet uten noen gang å erstatte 0.0.0.0/0. /1 er lengre enn /0, men din 192.168.1.0/24 er enda lengre, og derfor betyr en manglende LAN-rute mer enn selve tunnelens krav.

To regler avgjør svaret. Det lengste samsvarende prefikset vinner først, og blant oppføringer med samme prefiks vinner den laveste totale metrikken, der totalen kombinerer rutemetrikken og grensesnittmetrikken. Hvis det valgte grensesnittet er tunnelen, fortsett. Hvis det er den fysiske adapteren og trafikken fortsatt feiler, stopp her: problemet ditt er navneoppløsning eller skriverens egen tilgangsliste, ikke VPN-ruten.

Trinn tre: legg til den smaleste ruten som navngir gateway og grensesnitt

Reparasjonen er én oppføring som peker skriveradressen mot den lokale ruteren på den lokale adapteren. Kjør den i en forhøyet ledetekst og bytt ut verdiene du nettopp leste.

route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 if 12 -p

Verdien av if er grensesnittindeksen til den fysiske adapteren. Å utelate den er den vanligste grunnen til at kommandoen ser ut til å lykkes og ikke endrer noe, for når to adaptere kan nå samme neste hopp, står Windows fritt til å velge den du ikke ønsket. Flagget -p gjør oppføringen varig, slik at den overlever en omstart i stedet for å dø med økten.

Foretrekk en vertsrute for den enkelte enheten fremfor en rute for hele 192.168.1.0/24. En subnett-rute er bredere enn oppgaven trenger, og den kolliderer i det øyeblikket bedriftssiden også bruker det prefikset: ett prefiks har da to eiere, og hvilken oppføring som vinner avgjør hvilket nettverk du faktisk kan nå.

Den andre veien, hvis du har fjernet innstillingen for standardgateway på VPN-tilkoblingen for å beskytte LAN-et, slutter også de eksterne private prefiksene å løses opp. Legg til ruter for dem gjennom VPN-grensesnittet på samme måte, ellers blir tunnelen en forbindelse som ikke bærer noe.

Trinn fire: sørg for at unntaket overlever neste tilkobling

Mange bedriftsklienter installerer hele rutesttett sitt på nytt ved hver tilkobling og regner samtidig ut grensesnittmetrikkene på nytt, så en rute som fungerte i går kan bli overstyrt i dag. Etter gjentilkobling, gjenta Find-NetRoute for skriveren og kontroller at grensesnittet fortsatt samsvarer med den fysiske adapteren. Hvis oppføringen er borte, er det noe som sletter den; en varig rute beskytter deg ikke mot en agent som feier tabellen. Planlagte oppgaver som legger ruten til igjen etter at VPN-et kobles til, er den vanlige løsningen, og de er også løsningen som knekker når adapterindeksen endres etter en dock eller en driveroppdatering.

Følg med på IPv6 for seg. En klient som bare krever IPv4-standarden, kan la IPv6-standardruten stå på den fysiske adapteren, slik at en skriver som kan nås over IPv6 fortsetter å virke mens IPv4 feiler, eller omvendt. Test med ping -4 og ping -6 før du bestemmer at rutetabellen er uskyldig.

Hva den lokale snarveien koster deg

Enhver rute som omgår tunnelen, er et hull i tunnelens løfte. Trafikk til den adressen går ikke lenger gjennom bedriftsgatewayen, noe som betyr ingen inspeksjon, ingen logging og ingen håndheving av policy på den. På en administrert enhet kan det være et samsvarsproblem snarere enn en preferanse, så spør om det finnes et offisielt split-tunnel-unntak før du legger til ett for hånd. Hold din så smal som oppgaven og så kortvarig som situasjonen tillater.

Hvis skriveren svarer etter endringen, gjenta de fire kontrollene etter din neste gjentilkobling i stedet for å anta at reparasjonen holdt. Hvis den ikke svarer, fang Find-NetRoute-utdata før og etter tilkoblingen; forskjellen forteller deg om klienten slettet oppføringen eller bare rangerte den på nytt.