Dwie VPN-y Windows naraz: który profil zachowuje trasę domyślną?

Podłącz drugi tunel, a pierwszy cichnie, choć oba klienty nadal zgłaszają zdrowe połączenie. Windows ma do oddania tylko jedną trasę domyślną, a każdy profil, który jej żąda, odbiera ją drugiemu. Objaw wygląda jak awaria VPN, ale to walka o routing między dwoma profilami. Zdecyduj, który tunel ma być właścicielem tej trasy, a reszta konfiguracji podąży za tym.

Tylko jeden wpis może być najlepszą trasą domyślną

Tablica routingu IPv4 trzyma jedną zwycięską trasę dla miejsc docelowych bez bardziej szczegółowego dopasowania. Profil VPN, który instaluje własną, zastępuje poprzednią zaraz po połączeniu, a ruch, który wcześniej wchodził w pierwszy tunel, wychodzi teraz przez drugi. Pierwszy tunel pozostaje aktywny; znika każdy pakiet, który użyłby go do ogólnych celów.

Ikony stanu klienta nie mogą tego pokazać. Zgłaszają, że tunel został ustanowiony, a nie które prefiksy są nadal do niego kierowane, więc użytkownik widzi dwie zielone ikony i przekroczenie czasu w jakiejś aplikacji. Czytanie route print -4 podczas awarii daje więcej niż jakikolwiek dziennik VPN.

Rozwiązywanie nazw to drugi, niezależny konflikt, a sama naprawa tablicy routingu go nie rozstrzygnie.

Co instaluje pole wyboru, a co usuwa

Opcja znajduje się we właściwościach karty każdego profilu VPN, w zaawansowanych ustawieniach IPv4, i jest sformułowana jako używanie bramy domyślnej w sieci zdalnej. Włączona powoduje, że każde połączenie dodaje trasę domyślną przez tunel i ustawia ten interfejs w kolejce ruchu ogólnego. Wyłączona sprawia, że Windows zachowuje trasę dla własnej podsieci tunelu i nie rusza reszty tablicy.

Właśnie przy odznaczaniu pola większość ludzi utyka. Zdalna lokalizacja ma zwykle więcej niż jeden prefiks i żaden z tych prefiksów nie leży w podsieci karty, więc serwery plików i adresy zarządzania przestają odpowiadać. Pole nie zepsuło tunelu; usunęło szeroką trasę, która obejmowała wszystko.

Konfiguracje mieszane są uzasadnione i częste: profil firmowy zachowuje pole jako pełny tunel, a profil laboratoryjny jest dzielony, aby nie mógł wyprzeć firmowej trasy domyślnej.

Wybieraj według tego, co każdy tunel musi przenosić

Trzy pytania rozstrzygają układ. Czy ten tunel ma przenosić zwykły ruch internetowy, czy tylko adresy w obrębie własnej lokalizacji? Czy obie lokalizacje używają rozłącznych zakresów prywatnych? A jeśli profil jest zarządzany przez pracodawcę, czy w ogóle wolno ci zmieniać jego zachowanie routingu?

Jeśli jeden tunel musi być pełny, on posiada trasę domyślną, a drugi musi być dzielony. Jeśli żaden nie potrzebuje ogólnego ruchu internetowego, odznacz pole w obu i pozwól karcie fizycznej zachować trasę domyślną. Jeśli zakresy się nakładają, zatrzymaj się: 172.22.0.0/16 nie może oznaczać jednej maszyny po stronie firmowej i drugiej po stronie laboratorium, a żadne pole tego nie rozwiąże.

Zapisz decyzję obok nazw profili. Inaczej trzeci VPN dodany w następnym kwartale powtórzy dochodzenie od początku.

Dodaj brakujące prefiksy i sprawdź wynik

Dla każdego dzielonego tunelu dodaj jawnie zakresy zdalne, używając adresu peera pokazanego na tej karcie zamiast publicznego adresu serwera:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

Karta PPP używa swojego adresu peera jako następnego skoku, a karta TAP zwykle używa bramy pokazanej na tym interfejsie, więc czytaj szczegóły karty, zamiast kopiować liczbę z poradnika. Dodawaj flagę trwałą dopiero po potwierdzeniu poprawności trasy, a stare trwałe wpisy usuwaj przed dodaniem zamienników. Klienty zarządzane mogą instalować i chronić własne trasy, a wtedy zmianę musi wprowadzić właściciel profilu.

DNS wymaga osobnego przebiegu. Oba tunele mogą narzucać resolvery, a Windows trzyma listę dla każdego interfejsu z kolejnością preferencji, więc nazwa należąca do drugiej sieci może trafić do resolvera pierwszej. Zobacz, co każda karta faktycznie otrzymała, zanim wybierzesz poprawkę:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Zasada rozwiązywania nazw dla domeny jest zwykle lepsza niż zastępowanie globalnej listy resolverów, ponieważ ta lista jest współdzielona przez każdą aplikację na maszynie, a cicha zmiana przenosi niepowiązane zapytania.

Przyjmij konfigurację z czterema kontrolami: jeden zasób w każdej sieci zdalnej osiągalny po adresie, wyszukiwanie nazwy w każdej z nich, trasa domyślna internetu nadal wskazuje kartę fizyczną oraz sesja pulpitu zdalnego, która przeżywa podniesienie drugiego połączenia.