Printer offline wanneer de VPN verbindt? Controleer de routetabel

Uw laptop meldt zich aan bij de bedrijfs-VPN en de printer twee meter verder stopt met reageren. Aan de printer is niets veranderd en het lokale netwerk is niet uitgevallen. Wat is veranderd, is de routetabel: de tunneladapter bezit nu een pad dat het printeradres dekt, dus die pakketten verlaten via de VPN en komen aan bij een gateway die geen idee heeft waar uw platte netwerk is. Doorloop de vier controles hieronder in volgorde en stop bij de eerste die mislukt.

Stap één: bewijs dat de printer nog bereikbaar is op het LAN

Voordat u aan routing komt, bevestigt u dat het apparaat leeft voor iets dat de VPN niet gebruikt. Vraag een telefoon op dezelfde Wi-Fi de webpagina van de printer te openen, of ping het adres vanaf een andere machine op het platte netwerk. Als de printer daar ook niet antwoordt, is de VPN toeval en ligt de fout bij de printer, zijn Wi-Fi-verbinding of client-isolatie op het toegangspunt.

Als hij overal antwoordt behalve op deze laptop, hebt u een routing- of naamoplossingsprobleem dat op de laptop woont, en de volgende stap vertelt u welke van de twee het is.

Stap twee: vind de route die Windows werkelijk kiest

Lees de tabel niet van boven naar beneden en gok niet. Vraag Windows welk item het kiest voor het exacte adres dat u belangrijk vindt, en haal tegelijkertijd de interface-index op.

Find-NetRoute -RemoteIPAddress 192.168.1.50
route print -4
tracert -d 192.168.1.50

Find-NetRoute drukt de winnende route en de bijbehorende interface af, en dat zijn de twee feiten waarvan de rest afhangt. route print -4 toont de omliggende vermeldingen, inclusief de twee halve standaardroutes die full-tunnelclients installeren: 0.0.0.0/1 en 128.0.0.0/1, die samen de hele IPv4-ruimte dekken zonder ooit 0.0.0.0/0 te vervangen. Een /1 is langer dan een /0, maar uw 192.168.1.0/24 is nog langer, en daarom weegt een ontbrekende LAN-route zwaarder dan de claim van de tunnel zelf.

Twee regels beslissen het antwoord. De langste overeenkomende prefix wint eerst, en onder vermeldingen met dezelfde prefix wint de laagste totale metriek, waarbij het totaal de routemetriek en de interfacemetriek combineert. Als de gekozen interface de tunnel is, ga dan verder. Als het de fysieke adapter is en verkeer nog steeds mislukt, stop dan hier: uw probleem is naamresolutie of de eigen toegangslijst van de printer, niet de VPN-route.

Stap drie: voeg de smalste route toe die gateway en interface noemt

De reparatie is één vermelding die het printeradres naar de lokale router op de lokale adapter wijst. Voer hem uit in een verhoogde opdrachtprompt en vervang de waarden die u net hebt gelezen.

route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 if 12 -p

De waarde van if is de interface-index van de fysieke adapter. Die weglaten is de meest voorkomende reden dat de opdracht lijkt te slagen en niets verandert, want met twee adapters die dezelfde volgende hop kunnen bereiken, is Windows vrij om die te kiezen die u niet wilde. De vlag -p maakt de vermelding blijvend, zodat hij een herstart overleeft in plaats van met de sessie te sterven.

Geef de voorkeur aan een hostroute voor het afzonderlijke apparaat boven een route voor het hele 192.168.1.0/24. Een subnetroute is breder dan de taak nodig heeft, en hij botst op het moment dat de bedrijfskant datzelfde prefix ook gebruikt: één prefix heeft dan twee eigenaren, en welke vermelding wint bepaalt welk netwerk u werkelijk kunt bereiken.

De andere kant op: als u de optie voor de standaardgateway hebt gewist op de VPN-verbinding om het LAN te beschermen, houden ook de externe privéprefixen op met oplossen. Voeg daarvoor routes via de VPN-interface toe op dezelfde manier, of de tunnel wordt een verbinding die niets draagt.

Stap vier: zorg dat de uitzondering de volgende verbinding overleeft

Veel bedrijfsclients herinstalleren bij elke verbinding hun hele routenset en herberekenen daarbij de interfacemetrieken, dus een route die gisteren werkte kan vandaag worden overruled. Herhaal na het opnieuw verbinden Find-NetRoute voor de printer en controleer of de interface nog bij de fysieke adapter past. Als de vermelding weg is, verwijdert iets hem; een blijvende route beschermt u niet tegen een agent die de tabel veegt. Geplande taken die de route opnieuw toevoegen nadat de VPN verbindt, zijn de gebruikelijke oplossing, en ze zijn ook de oplossing die breekt wanneer de adapterindex verandert na een dock of een driverupdate.

Let apart op IPv6. Een client die alleen de IPv4-standaard claimt, kan de IPv6-standaardroute op de fysieke adapter laten staan, zodat een printer die via IPv6 bereikbaar is blijft werken terwijl IPv4 faalt, of andersom. Test met ping -4 en ping -6 voordat u besluit dat de routetabel onschuldig is.

Wat de lokale sluiproute u kost

Elke route die de tunnel omzeilt is een gat in de belofte van de tunnel. Verkeer naar dat adres gaat niet meer via de bedrijfsgateway, wat betekent geen inspectie, geen logging en geen beleidshandhaving erop. Op een beheerd apparaat kan dat een complianceprobleem zijn in plaats van een voorkeur, dus vraag of er een officiële split-tunneluitzondering bestaat voordat u er zelf een toevoegt. Houd de uwe zo smal als de taak en zo kortstondig als de situatie toelaat.

Als de printer na de wijziging antwoordt, herhaal dan de vier controles na uw volgende herverbinding in plaats van aan te nemen dat de reparatie standhield. Als hij niet antwoordt, leg dan de uitvoer van Find-NetRoute vast vóór en na de verbinding; het verschil vertelt u of de client de vermelding heeft verwijderd of alleen opnieuw heeft gerangschikt.