Utelat éin vert frå standardruta til eit Windows VPN

Den berbare datamaskinen koplar seg til kontor-VPN-et og alt følgjer det, òg nettsida til ein skrivar og eitt intranett som berre svarar på det lokale nettet. Ei handlaga rute løyser det i ein time, så fell sambandet, kjem tilbake, og unntaket er borte. Det er ikkje noko gale med tunnelen: Windows held éi rutetabell, og VPN-adapteren skriv om sin del av den tabellen ved kvar tilkopling. Det som overlever, er alt som ligg utanfor adapteren sine eigne oppføringar.

Kva oppføring tunnelen tek over

Skriv ned tabellen to gonger, éin gong med tunnelen nede og éin gong med han oppe, og samanlikn standardlinjene. Når profilen krev standardprefikset, er oppføringa til adapteren den breiaste rada i tabellen, så kvart unntak må vere smalare enn ho. Det er aritmetikk om prefikslengd og ikkje ei fråsegn om tillit eller politikk. Det fastset òg kva grensesnitt unntaket må nemne.

Skriv ned grensesnittindeksen og den lokale porten før du går vidare, for begge endrar seg når maskina blir med i eit anna nett. Kommandoane nedanfor les dei frå maskina og ikkje frå minnet.

route print -4
Find-NetRoute -RemoteIPAddress 198.51.100.30

Den andre kommandoen melder grensesnittet og neste hopp som den eine adressa ville bruke no, noko som er betre enn å lese førti linjer og gjette. Køyr han før og etter tilkoplinga, og du har paret som det er verdt å leggje ved ein endringslogg. Begge utdata gjev tala som blir brukte i resten av denne sida.

Ei vertsrute vinn på spesifisitet

Den lengste prefikskorrespondansen avgjer vinnaren, så /32 gjennom den fysiske porten slår standardruta gjennom tunnelen utan at tunnelen blir rørd. Trafikk til den adressa går ut gjennom det lokale grensesnittet medan alt anna held sin noverande veg. Tunnelen ber framleis standardruta og sluttar berre å vere den einaste kandidaten for den destinasjonen. Prefikslengda er den einaste spaken tabellen byr på, og for denne jobben er det nok.

Spesifisiteten stengjer òg ute den opplagde snarvegen å utelate eit domenenamn, fordi tabellen samanliknar adresser og eitt namn kan løysast til fleire. Løys verten først, og avgjer så kva av adressene hans som fortener unntaket.

For alt nedanfor, gå ut frå ei tilkopling som heiter Office, ein lokal port 10.0.0.1 på grensesnitt 7, og ein destinasjon på 198.51.100.30. Dette er plasshaldarar og ikkje standardverdiar, og kommandoane ovanfor gjev dei verdiane som maskina di faktisk brukar. Hald den erstatningsnotata saman med endringa så den neste lesaren ikkje kopierer tala.

Gjer at ruta overlever neste attilkopling

Windows byr ikkje på noka utelatingsinstruks på ei VPN-tilkopling, så unntaket må leve på det fysiske grensesnittet der adapteren ikkje skriv det om. Kommandoen som ser ut som svaret gjer det motsette: Add-VpnConnectionRoute flyttar eit prefiks inn i tunnelen, og det er spegeltilfellet der ein delt profil skal bere éin destinasjon og la resten vere lokal. Å gripe til han her garanterer at trafikken du ville halde utanfor går inn.

Den manuelle forma er éin kommando. Svakheita er nettverksbyte og ikkje attilkopling.

route -p add 198.51.100.30 mask 255.255.255.255 10.0.0.1 metric 1 if 7

Det overlever omstart takka vere -p og sender éi adresse ut gjennom grensesnitt 7 medan tunnelen ber alt anna. Flytt den berbare datamaskinen til eit anna nett, og både porten og indeksen blir utdaterte, så oppføringa feilar stille. Skriv ned kven som eig ho og når ho skal fjernast.

Eit tilkoplingsskript er den robustare versjonen, fordi det legg unntaket til på nytt etter kvar tilkopling i staden for å håpe at oppføringa overlevde. Dei to linjene nedanfor høyrer til det som startar tunnelen, ikkje til eit innloggingsskript.

rasdial Office
route add 198.51.100.30 mask 255.255.255.255 10.0.0.1 metric 1 if 7

Kva som enn lyfter tunnelen, er rett stad for den andre linja, og rasdial kjem først tilbake etter at sambandet er oppretta, så ruta landar bak adapteren sine eigne oppføringar. Køyr han på nytt etter ein oppvakning, fordi dvale kan sleppe ruta og late tunnelen stå oppe. Viss oppgåva er den motsette, å presse eit prefiks inn i tunnelen medan resten blir verande lokalt, då er Add-VpnConnectionRoute rett reiskap.

Ruting kan ikkje velje ein prosess

Nokre gonger er kravet smalare enn ein destinasjon: eitt program skal ta den lokale vegen medan alt anna blir verande inne i tunnelen. Ruting kan ikkje uttrykkje det, fordi det samanliknar adresser og ikkje prosessar. Det fungerande mønsteret dyttar problemet inn i oppstartaren.

Hald profilen borte frå standardruta og start det eine programmet bunde til adressa til det lokale grensesnittet, då blir unntaket startkommandoen og tunnelen held på det han alt handsama. Ingenting i rutetabellen endrar seg, og difor overlever dette attilkoplingar. Det tyder òg at tunnelen ikkje må eige standardruta frå byrjinga, så dette er ein annan konstruksjon og ikkje ein lapp på den førre.

Svakheita er operativ og ikkje teknisk. Programmet må alltid starte gjennom innpakninga, og viss bindinga manglar etter ei oppvakning, tek det stille kva veg tabellen enn byr på. Det er toleleg for ein nettlesar du opnar med vilje og uakseptabelt for noko som aldri må forlate tunnelen.

Tilkoplingar per brukar løyser heller ikkje dette. Windows kan avgrense ei tilkopling til ein konto medan rutetabellen blir verande for heile maskina, så ei kontobunden tilkopling med standardrute omdirigerer framleis kvar prosess på maskina, òg andre økter. Omfanget blir reelt først når omfanget til ruta passar med kontoen. To personar som deler éin berbar datamaskin deler difor éin tabell, og den andre arvar kva tunnel den første enn starta.

Stadfest at unntaket overlevde ei attilkopling

Prøv endringa slik ho vil feile: kople frå, kople til på nytt, opne eit nytt program, og be så om éi adresse som må halde seg lokal og éi som må bruke tunnelen. Samanlikn begge med Find-NetRoute i tilkopla tilstand.

Viss prefikset manglar i tabellen etter ei attilkopling, lever det i feil objekt og ikkje i feil format. Flytt det til det fysiske grensesnittet og gjer testen på nytt. Hald båe kommandoutdata saman med endringsloggen, fordi eit augeblinksbilete av den fungerande tilstanden svarar seinare på fleire spørsmål enn eit avsnitt med forklaring. Den neste personen vil vite kva tilkoplinga produserte, ikkje kva du meinte ho skulle produsere.