Como remover uma rota obsoleta deixada por uma VPN do Windows

A sessão terminou há horas, o adaptador desapareceu, e a rota continua na tabela a apontar para a interface 42. Apagar essa linha exige um comando; decidir que é a linha certa exige quatro verificações. A tabela de rotas é partilhada, por isso uma remoção ampla retira caminhos que outras ligações ainda usam, incluindo o que transporta o túnel. Cada passo abaixo estreita o alvo até só uma entrada poder corresponder.

1. Decida se a entrada está obsoleta ou é intencional

Uma entrada que sobreviveu a um reinício foi escrita em algum lugar, e esse lugar é normalmente uma decisão, não um acidente. O túnel dividido depende de rotas que parecem exatamente sobras, e uma política que empurra um prefixo pelo túnel é indistinguível de uma entrada obsoleta numa única listagem. Pergunte quando a rota apareceu: uma que só existe enquanto o túnel está ativo pertence à configuração do cliente, por isso o comando de limpeza é a ferramenta errada. Remova uma rota intencional e a ligação seguinte falha no passo que ninguém está a observar.

A rota do endpoint merece o seu próprio aviso. Quando um cliente adiciona uma rota de anfitrião para o servidor VPN para que os pacotes cifrados o alcancem pela ligação local, apagar essa rota faz colapsar o túnel na reconexão seguinte, e o sintoma lê-se como uma falha do servidor. Compare o destino com o endereço a que o cliente se liga antes de tocar em nada: um único endereço público que coincida com o servidor VPN é o caminho exterior, não lixo.

2. Registe os quatro campos que nomeiam a entrada

Um prefixo sozinho não é uma identidade, porque duas interfaces podem ter rotas para o mesmo destino. Registe o prefixo de destino, o índice da interface, o próximo salto e o arquivo de políticas, porque esses quatro valores descrevem exatamente uma entrada. Uma listagem dá-lhe todos eles:

Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric

Ordenar pela métrica eleva as rotas que a máquina realmente prefere, e é aí que uma sobra costuma ficar. Compare a entrada enquanto o túnel está ativo e novamente depois de cair: uma rota que desaparece com o adaptador era do cliente, e a que fica foi escrita por outra coisa. O arquivo de políticas é o campo que as pessoas saltam, e é ele que explica um reaparecimento, porque uma entrada removida do arquivo ativo regressa após a atualização de políticas seguinte. Registe os quatro valores antes de executar algo que altere o estado.

3. Pré-visualize a remoção e depois remova uma entrada

Remove-NetRoute aceita o mesmo prefixo e o mesmo índice de interface que Get-NetRoute imprimiu, e tem um interruptor de pré-visualização, por isso nada tem de ser adivinhado. Execute o par nesta ordem:

Remove-NetRoute -DestinationPrefix 10.20.0.0/16 -InterfaceIndex 42 -WhatIf
Remove-NetRoute -DestinationPrefix 10.20.0.0/16 -InterfaceIndex 42

A pré-visualização imprime o objeto que apagaria, por isso compare prefixo, interface e próximo salto com as suas notas antes de largar o interruptor. Nenhuma das linhas chega a uma entrada persistente, porque o arquivo ativo é a predefinição; acrescente -PolicyStore PersistentStore quando a rota identificada vive lá, caso contrário a remoção parece funcionar e a entrada regressa na atualização de políticas seguinte. Mantenha um caminho de recuperação fora de banda quando a sessão é remota, porque apagar a rota que transporta a sua própria ligação termina-a. Nunca recorra a um comando que limpe a tabela.

4. Encontre o componente que a repõe

Apagar não é uma correção enquanto o proprietário ainda está configurado para instalar a rota. O proprietário é normalmente um de três: o perfil do cliente VPN com a sua lista de túnel dividido, um script ou tarefa agendada que adiciona rotas ao iniciar sessão, ou uma política de domínio aplicada à máquina. Verifique primeiro o perfil, porque é executado em cada ligação:

Get-VpnConnection | Select-Object Name,SplitTunneling,ServerAddress
Get-NetRoute -PolicyStore PersistentStore

As entradas persistentes são visíveis sem ligar nada, por isso uma rota que regressa após um reinício sem sessão VPN vive quase sempre nesse arquivo ou num script de arranque. Corrija aí o proprietário, e a remoção manual passa a verificação em vez de tratamento.

5. Verifique a pesquisa, os vizinhos e a nota

Um resultado limpo não é a rota ter desaparecido; é uma pesquisa que agora escolhe a interface que esperava. Pergunte à máquina para onde iria um pacote para o prefixo afetado, porque uma sobra ainda nomeia o índice morto enquanto uma resposta limpa nomeia a interface on-link ou o gateway correto. Find-NetRoute responde a isso para um endereço de cada vez:

Find-NetRoute -RemoteIPAddress 10.20.4.7

Depois teste um vizinho: escolha um segundo prefixo de que um túnel dividido ainda precisa e confirme que a pesquisa não mudou, porque retirar uma rota a mais é o erro que esta limpeza convida. Repita a aplicação que falhou originalmente, e registe que componente detém o prefixo agora. A documentação da Microsoft sobre Get-NetRoute lista os campos que registou no segundo passo. Daqui a seis meses é essa nota que impede a mesma entrada de ser diagnosticada duas vezes.