Kvifor Windows-VPN-en din drep den lokale skrivaren, og korleis du stoppar det

Kople til VPN-en, og skrivaren forsvinn, NAS-delinga sluttar å opne seg, og ein Eksternt skrivebord-økt til maskinen ved sida av deg går ut på tid. Ingenting gjekk i stykke. Klienten la til ei standardrute og eig no kvar destinasjon laptopen kan namngi, også dei tre meter unna. Det er heile mekanismen, og å kalle det ein VPN-feil er det som gjer ei eittlinjes retting til ei støttesak.

Les rutetabellen først

Før du endrar noko, ta IPv4-tabellen med route print -4 og ta vare på utdata. Kople til, ta på nytt, og samanlikn linjene 0.0.0.0: den aktive standardruta namngir eit grensesnitt, og viss det grensesnittet er tunnelen, blir lokal utskrift og surfing send til kontoret først.

Grensesnittnummeret i den andre kolonna er det ei permanent rute må visa til seinare, så noter det medan tunnelen er oppe. Det er også verdien som endrar seg når adapteren blir gjenskapt, og difor kan ruter feste til han stille overleve nytten sin.

Fjern standardruta, på tre måtar

På ein innebygd Windows-profil er kontrollen ein avkryssingsboks. Opne eigenskapane til tilkoplinga, IPv4, deretter Avansert, og fjern Use default gateway on remote network; den nyare Innstillingar-appen skjuler den same dialogen eitt lag djupare. Frå ein forhøgd ledetekst er den same endringa éin cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

Ein OpenVPN-profil fungerer annleis, og difor forvirrar åtferda folk som ventar ein avkryssingsboks. Direktivet redirect-gateway def1 erstattar ikkje standardruta i det heile; det installerer to halvområderuter, 0.0.0.0/1 og 128.0.0.0/1, som saman vinn over standardruta utan å sletta ho. Fordi den opphavlege standarden overlever, sender eit prefiks retta mot net_gateway berre det prefikset tilbake til den lokale rutaren. Den detaljen forklarar kvifor rettinga for ein def1-profil er ei prefiksrute og ikkje ein avkryssingsboks ingen finn.

Legg berre tilbake det som høyrer til arbeidet

Når standardruta er borte, ber tunnelen ingenting, så arbeidspreficksa må namngivast eksplisitt. Cmdleten som bind eit prefiks til tilkoplinga, er tryggare enn ei permanent rute, fordi han berre blir installert medan den tilkoplinga er oppe og ikkje er avhengig av eit grensesnittnummer:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Den eldre framgangsmåten fungerer framleis og står framleis på kvar sjekkliste: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, med tunnelens eigen grensesnittindeks og gateway-adresse. Han overlever omstartar, som er poenget og også faren, sidan indeksen ved neste oppstart kan høyra til noko anna.

Metrikkane avgjer resten. Viss både den fysiske og tunnel-adapteren krev ei rute for same prefiks, vinn den lågaste metrikken, og å heve metrikken til tunnelen er styring på klient-sida som er legitim og ikkje eit hack.

Når tenaren bestemmer for deg

Ein klient som ignorerer avkryssingsboksen din, følgjer vanlegvis ein policy. Cisco-profilar har ei Allow Local LAN Access-innstilling, og ein headend kan dytte ein tunnel-all-policy som overstyrer det klienten måtte føretrekkje; i ein obligatorisk tunnel er det ingen lokal brytar å snu. Les klientloggen for dytta ruter og policylinjer i staden for å sjekke den same dialogen på nytt.

Sjå deretter på namneoppløysing, som er ein eigen brytar frå ruting. Ein splitta tunnel kan framleis motta ein intern resolver og eit søkjeprefiks, så ein lokal eining er nåbar på adresse og ufinnbar på namn til DNS-sida også er retta.

Overlapp er eit anna problem

Viss heime-LAN-et og kontor-LAN-et deler eit prefiks som 192.168.0.0/24, kan inga rute skilje dei. Kvar pakke for det området har eitt oppslagssvar, og rettinga er å nummerere om éi side eller nå kontoret gjennom ei omsett adresse frå poolen. Å leggje til meir spesifikke ruter flyttar berre kva halvdel av nettet som knekk.

Avslutt med éin verifisering i staden for fem: kople til, og køyr deretter tracert mot ein intern og ein offentleg vert. Det første hoppet bør vere annleis, og viss det ikkje er det, er splittinga ikkje på plass same kva klienten rapporterer. Kople deretter til på nytt éin gong og gjenta, fordi dytta ruter kjem tilbake med kvar økt.