Een verouderde route van een Windows-VPN verwijderen

Uw sessie eindigde uren geleden, de adapter is weg, en toch staat de route nog in de tabel en wijst naar interface 42. Die regel verwijderen kost één opdracht; bepalen dat het de juiste regel is kost vier controles. Een routetabel wordt gedeeld, dus een brede verwijdering haalt paden weg die andere verbindingen nog gebruiken, waaronder degene die de tunnel draagt. Elke stap hieronder vernauwt het doel tot slechts één vermelding kan overeenkomen.

1. Bepaal of de vermelding verouderd of opzettelijk is

Een vermelding die een herstart overleefde, is ergens geschreven, en die plek is meestal een beslissing, geen ongeluk. Split tunneling leunt op routes die er precies als resten uitzien, en een beleid dat één prefix door de tunnel duwt is in één lijst niet te onderscheiden van een verouderde vermelding. Vraag wanneer de route verscheen: een die alleen bestaat zolang de tunnel actief is, hoort bij de configuratie van de client, dus een opruimopdracht is het verkeerde gereedschap. Verwijder een bewuste route en de volgende verbinding faalt bij de stap waar niemand naar kijkt.

De endpointroute verdient een eigen waarschuwing. Wanneer een client een hostroute naar de VPN-server toevoegt zodat versleutelde pakketten hem via de lokale verbinding kunnen bereiken, laat het verwijderen van die route de tunnel bij de volgende herverbinding instorten, en het symptoom leest als een serverfout. Vergelijk de bestemming met het adres waarmee de client verbindt voordat u iets aanraakt: één openbaar adres dat overeenkomt met de VPN-server is het buitenste pad, geen rommel.

2. Noteer de vier velden die de vermelding benoemen

Een prefix alleen is geen identiteit, omdat twee interfaces routes naar dezelfde bestemming kunnen hebben. Noteer het bestemmingsprefix, de interface-index, de volgende hop en de beleidsopslag, want die vier waarden beschrijven precies één vermelding. Eén lijst geeft ze allemaal:

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric

Sorteren op metriek tilt de routes op die de machine echt verkiest, en daar zit meestal een rest. Vergelijk de vermelding terwijl de tunnel actief is en opnieuw nadat hij wegvalt: een route die met de adapter verdwijnt was van de client, en degene die blijft is door iets anders geschreven. De beleidsopslag is het veld dat mensen overslaan, en dat is precies wat een herverschijning verklaart, want een vermelding die uit de actieve opslag is verwijderd, komt na de volgende beleidsvernieuwing terug. Schrijf de vier waarden op voordat u iets uitvoert dat de toestand wijzigt.

3. Bekijk het verwijderen, verwijder dan één vermelding

Remove-NetRoute accepteert hetzelfde prefix en dezelfde interface-index die Get-NetRoute afdrukte, en het heeft een voorbeeldweergaveschakelaar, dus er hoeft niets geraden te worden. Voer het paar in deze volgorde uit:

Remove-NetRoute -DestinationPrefix 10.20.0.0/16 -InterfaceIndex 42 -WhatIf
Remove-NetRoute -DestinationPrefix 10.20.0.0/16 -InterfaceIndex 42

De voorbeeldweergave drukt het object af dat het zou verwijderen, dus vergelijk prefix, interface en volgende hop met uw notities voordat u de schakelaar loslaat. Geen van beide regels bereikt een blijvende vermelding, omdat de actieve opslag de standaard is; voeg -PolicyStore PersistentStore toe wanneer de geïdentificeerde route daar leeft, anders lijkt het verwijderen te werken en komt de vermelding bij de volgende beleidsvernieuwing terug. Houd een buitenbandse herstelroute aan wanneer de sessie op afstand is, want het verwijderen van de route die uw eigen verbinding draagt, beëindigt die. Grijp nooit naar een opdracht die de tabel leegmaakt.

4. Zoek welk onderdeel het terugzet

Verwijderen is geen oplossing zolang de eigenaar nog is ingesteld om de route te installeren. De eigenaar is meestal een van drie: het profiel van de VPN-client met zijn split-tunnel-lijst, een script of geplande taak die bij aanmelding routes toevoegt, of een domeinbeleid dat op de machine is toegepast. Controleer eerst het profiel, want dat draait bij elke verbinding:

Get-VpnConnection | Select-Object Name,SplitTunneling,ServerAddress
Get-NetRoute -PolicyStore PersistentStore

Blijvende vermeldingen zijn zichtbaar zonder iets te verbinden, dus een route die na een herstart zonder VPN-sessie terugkomt, leeft bijna altijd in die opslag of in een opstartscript. Corrigeer daar de eigenaar, en het handmatige verwijderen wordt verificatie in plaats van behandeling.

5. Controleer de opzoeking, de buren en de notitie

Een schoon resultaat is niet dat de route weg is; het is een opzoeking die nu de interface kiest die u verwachtte. Vraag de machine waar een pakket naar het getroffen prefix heen zou gaan, want een rest noemt nog de dode index terwijl een schoon antwoord de on-link-interface of de juiste gateway noemt. Find-NetRoute beantwoordt dat voor één adres per keer:

Find-NetRoute -RemoteIPAddress 10.20.4.7

Test dan een buur: kies een tweede prefix die een split-tunnel nog nodig heeft en bevestig dat de opzoeking ervan onveranderd is, want één route te veel weghalen is de fout waar deze opruiming om vraagt. Probeer de toepassing die oorspronkelijk faalde opnieuw, en noteer welk onderdeel het prefix nu bezit. De Microsoft-documentatie over Get-NetRoute noemt de velden die u in stap twee hebt opgeschreven. Over zes maanden is die notitie wat voorkomt dat dezelfde vermelding twee keer wordt gediagnosticeerd.