څنګه وګورو چې په Windows کې VPN په PowerShell کې واقعاً څه مسیر کوي
نښلول شوې VPN ټایل پوښښ نه ثابتوي. خوندي شوې پروفایل بیرغ، ژوندې مسیر جدول او NRPT قواعد په همدې ترتیب ولوستل شئ.
ما د Windows 11 په لیپ ټاپ کې VPN کلاینټ ونښلاوه، ټایل Connected ته لاړ، یو داخلي فایل شریکول پرانیستل شو، او یو عامه وېبپاڼه لا هم مستقیم د دفتر له Wi-Fi څخه بارېده. دا ګډوډي د مات شوي تونل په څېر ښکاري. خو دا د داسې پروفایل نورمال پایله ده چې یو څه ترافیک د VPN له لارې لېږي او پاتې برخه په فزیکي اډاپټر پرېږدي. زورداره تونل کول بدلوي چې Windows کوم ډیفالټ مسیر غوره کوي؛ دا ډېر مشخص مسیرونه نه حذف کوي او دا ژمنه هم نه کوي چې د اړیکې پرې کېدو سره به ترافیک ودرېږي. لاندې هغه ترتیب دی چې زه یې تعقیبوم کله چې کلاینټ د پوښښ ادعا کوي: د کلاینټ حالت، خوندي پروفایل، پلي شوي مسیرونه، حل کوونکی، بیا ریښتیني بهیرونه.
له کلاینټ پیل کړئ، بیا پرې باور کول بند کړئ
کلاینټ د پیل لپاره سم ځای یوازې ځکه دی چې تاسو ته وایي کوم پروفایل فعال دی. د اړیکې ځانګړنې پرانیزئ او د پروفایل دقیق نوم، دا چې د اوسني کارونکي لپاره جوړ شوی که د ماشین د هر چا لپاره، او د نښلولو وروسته په ncpa.cpl کې کوم اډاپټر ښکاري، یادښت کړئ. زما په ازموینې لیپ ټاپ کې اډاپټر د پروفایل نوم درلود، چې د مسیرونو پایله یې لوستل اسانه کړل. په نورو ماشینونو کې دا د WAN Miniport ننوتې په توګه ښکاري او نوم تاسو ته هېڅ نه وایي.
هغه څه چې کلاینټ یې نه شي ویلای، پوښښ دی. نښلول شوی ټایل د تونل حالت بیانوي، نه د منزلونو لړلیک. دریمې خوا کلاینټونه هم خپل ترتیب ساتي، نو کېدای شي اصلي Windows پروفایل او هره ځانګړنه چې ترې لولئ، د هغه کلاینټ له نصب شوي شي سره تړاو ونه لري. که VPN د AnyConnect، OpenVPN GUI، WireGuard یا د پلورونکي د استازي له لارې راغلی وي، لاندې PowerShell ګړنې ډېری نه پلي کېږي او پرځای یې باید د هغه کلاینټ خپل split-tunnel او مسیر کولو تنظیمات ولولئ.
خوندي شوی پروفایل ولولئ، نه ټایل
د اصلي Windows پروفایل لپاره (IKEv2، L2TP، SSTP یا هغه چې MDM فشار ورته راوړي) خوندي شوې split-tunnel پرېکړه یوه ځانګړنه ده:
Get-VpnConnection -Name 'Office' | Select-Object Name, ServerAddress, SplitTunneling, DnsSuffixکله چې پروفایل د وسیلې د هر چا لپاره جوړ شوی وي -AllUserConnection ورزیات کړئ. پرته له دې تاسو د اوسني کارونکي لړلیک لولئ، کېدای شي خالي وي یا د ورته نوم بله ننوتنه ولري. False ارزښت په SplitTunneling کې مانا دا ده چې پروفایل د بشپړ تونل په توګه خوندي شوی: Windows د VPN اډاپټر له لارې ډیفالټ مسیر نصبوي. True مانا split tunnel ده، او پوښښ بیا په بشپړ ډول هغو مسیرونو او د نومونو د حل قواعدو پورې تړلی دی چې هغه پروفایل یې فشار ورته راوړي.
دغه ارزښت د ترتیب په توګه وګڼئ، نه د کتنې په توګه. دا ثبتوي چې پروفایل د نښلولو پر مهال څه غوښتل. Windows کېدای شي د بل انټرفېس د ډېر مشخص مسیر، د تګلارې تنظیم یا د پخوانۍ اړیکې د پاتې ننوتنې له امله په بېلابېلو پلي شوو مسیرونو پای ومومي، نو منطقي ارزښت پوښتنه یوازې حل نه کوي.
خوندي شوی ارزښت له پلي شوي مسیر جدول سره پرتله کړئ
د نښلولو وروسته پر ځای د بشپړ جدول سکرول کولو، د تونل اډاپټر مسیرونه ولیکئ:
$vpn = Get-NetAdapter | Where-Object InterfaceDescription -match 'VPN|WAN Miniport'
Get-NetRoute -InterfaceIndex $vpn.ifIndex | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.20.4.15 | Select-Object -First 1Find-NetRoute ګټور نیمه دی. دا هغې پوښتنې ته ځواب وایي چې کلاینټ یې هېڅکله نه وایي: د دې منزل لپاره Windows واقعاً کوم انټرفېس او کوم سورس پته کاروي؟ دا د یوې داخلي کوربه، یوې عامه کوربه او هر هغه څه لپاره چې تاسو یې قصدي استثنا ګڼئ، وچلوئ. بشپړ تونل پروفایل باید د عامه پتې لپاره د تونل انټرفېس وښیي. split tunnel پروفایل هلته معمولاً فزیکي اډاپټر ښیي، په داسې حال کې چې داخلي مختګونه لا هم VPN ته حل کېږي.
دوه تله ګانې د «ناسم لوري ته مسیر کوي» راپورونو ډېری برخه تشریح کوي. تر ټولو مشخص مختګ تل ګټي، نو په فزیکي اډاپټر کې /24 د VPN پر ډیفالټ مسیر برلاسه کېږي، هرڅومره چې د تونل میټریک ټیټ وي. میټریک یوازې د یوه مختګ د مسیرونو ترمنځ برابرۍ حل کوي. او IPv4 او IPv6 جلا فیصله کېږي: هغه پروفایل چې 0.0.0.0/0 پوښي کېدای شي IPv6 په ځایي لینک پرېږدي، چې دوه-سټیک وېبپاڼه نیمګړې تونل شوې ښکارې. مخکې له دې چې نتیجه واخلئ چې تونل سم دی، Get-NetRoute -AddressFamily IPv6 وګورئ.
| What you see | Most likely cause | Check next |
|---|---|---|
| Public traffic leaves the physical adapter while SplitTunneling reads False | A more specific route on that adapter wins over the tunnel default | Find-NetRoute for the exact destination, then look for a /24 or host route on the physical interface |
| Internal name fails, internal IP works | No NRPT rule for that namespace, or a broader rule matches first | Get-DnsClientNrptPolicy and the namespace order |
| A dual-stack site opens directly while IPv4 uses the tunnel | The profile covers only the IPv4 default route | The IPv6 route table on both interfaces |
| Routes look right but one app still goes direct | The app uses its own proxy, or the client keeps a per-app list | The app's proxy settings and the client's application list |
د NRPT سره د نومونو حل جلا وګورئ
هغه داخلي نومونه چې ناکامېږي په داسې حال کې چې داخلي IP پتې کار کوي، د مسیر کولو نه بلکې د حل کوونکي تګلارې ته اشاره کوي. Windows د هر نوم تش space لپاره DNS د نومونو د حل تګلارې جدول له لارې فیصله کوي، چې د مسیر جدول څخه خپلواک دی:
Get-DnsClientNrptPolicy -Effective | Select-Object Namespace, NameServers
Get-DnsClientServerAddress -InterfaceIndex $vpn.ifIndexکله چې یوه قاعده *.corp.example سره سمون وخوري، د هغه نوم تش space پوښتنې د تونل DNS سرورونو ته ځي، حتی که په split tunnel حالت کې هغو سرورونو ته د معلوماتو لاره په فزیکي اډاپټر پاتې شي. دا ډیزاین دی، او له همدې امله د عامه وېبپاڼې پرانیستونکی براوزر ازموینه د داخلي نومونو په اړه هېڅ نه وایي. که اډاپټر تمه شوي سرورونه ولیکي خو لټون لا هم بل ځای ته ځي، د NRPT قواعدو ترتیب پرتله کړئ او وګورئ چې ډېر مشخص نوم تش space لومړی سمون خوري که نه.
بهیرونه تایید کړئ، بیا فیصله وکړئ چې واقعاً څه غوښتي وو
منزلونه په ثابت ترتیب کې وګورئ ترڅو پایلې د ماشینونو ترمنځ د پرتلې وړ وي: عامه پته، داخلي پته، داخلي نوم او یوه قصدي استثنا لکه ځایي پرنټر یا ویډیو زنګ. د هر یو لپاره هغه انټرفېس او سورس پته یادښت کړئ چې Find-NetRoute یې بېرته راګرځوي. له هرې تګلارې بدلون وروسته بیا نښلئ او هغه څلور ګړنې تکرار کړئ؛ د بیا نښلولو وروسته مسیر جدول یوازینی شاهد دی چې نوی پروفایل نافذ شو.
بیا مسیر کول له پلي کولو جلا کړئ. زورداره تونل کول د پوښل شوي ترافیک لپاره تر هغه پورې تونل غوره کوي چې تونل ولاړ وي. دا kill switch نه دی. که غوښتنه دا وي چې د تونل لوېدو پر مهال باید له ماشین څخه هېڅ ونه وځي، دا باید د بندولو له ډیزاین څخه راشي: د تونل حالت سره تړلی firewall پروفایل، تل-روښان پروفایل د ترافیک فلټرونو سره یا د پلورونکي کلاینټ خپله د ناکامۍ پر مهال د بندولو اختیار. زورداره تونل کول باید د VPN سرور خپله پته هم له تونل څخه بهر د لاسرسي وړ پرېږدي، او د «هر څه زورولو» په نوم یې بندول د هغې اړیکې څخه ځان بندول دي چې تاسو یې پلي کول غواړئ.
مخکې له دې چې څه بدل کړئ، دا لړلیک وګورئ. هره ناکامه ماده روښانه کوي چې ریښتینی ستونزه چېرې ده.
- د پروفایل نوم او حد تایید شو، د ماشین-پراخه پروفایلونو لپاره
-AllUserConnectionوکارول شو. SplitTunnelingولوستل شو او د پوښښ ثبوت نه، بلکې د ترتیب په توګه وګڼل شو.- د تونل اډاپټر مسیرونه د IPv4 او IPv6 لپاره جلا ولیکل شول.
Find-NetRouteد یوې عامه، یوې داخلي او یوې استثنا منزل لپاره وچلول شو.- NRPT قواعد مخکې له دې چې مسیرونه د نوم ناکامۍ په تور ونیول شي، وګړل شول.
- د بندولو غوښتنه بیا ولوستل شوه: غوره مسیر کول د پلي شوي بندولو سره یو شان نه دي.
د بشپړ یا split تونل پرېکړه د پروفایل مالک ته اړه لري، او د Microsoft د مسیر کولو یادښتونه هغه چلند بیانوي چې Windows یې پلي کوي کله چې پروفایل یې ټاکي. Microsoft: زورداره او split تونل کول هغه حواله ده چې زه یې د پایلې لوستلو پر مهال پرانیستې ساتم.