Duas VPN do Windows ao mesmo tempo: qual perfil mantém a rota padrão?

Ligue o segundo túnel e o primeiro fica em silêncio, enquanto os dois clientes ainda relatam uma conexão saudável. O Windows tem apenas uma rota padrão para dar, e cada perfil que a reivindica toma-a do outro. O sintoma parece uma queda de VPN, mas é uma disputa de roteamento entre dois perfis. Decida qual túnel deve possuir essa rota e o resto da configuração segue.

Só uma entrada pode ser a melhor rota padrão

A tabela de roteamento IPv4 guarda uma única rota vencedora para destinos que não têm uma correspondência mais específica. Um perfil de VPN que instala a sua própria substitui a anterior assim que se conecta, e o tráfego que antes entrava no primeiro túnel agora sai pelo segundo. O primeiro túnel continua ativo; o que desaparece é qualquer pacote que o teria usado para destinos gerais.

Os ícones de status do cliente não conseguem mostrar isso. Eles informam que um túnel foi estabelecido, não quais prefixos ainda são roteados para ele, então o usuário vê dois ícones verdes e um tempo limite em um aplicativo. Ler route print -4 durante a falha é mais informativo do que qualquer registro de VPN.

A resolução de nomes é um segundo conflito independente, e corrigir só a tabela de roteamento não o resolverá.

O que a caixa instala e o que ela remove

A opção fica nas propriedades do adaptador de cada perfil de VPN, nas configurações avançadas de IPv4, formulada como usar o gateway padrão na rede remota. Habilitada, cada conexão acrescenta uma rota padrão pelo túnel e coloca essa interface na fila do tráfego geral. Desabilitada, o Windows mantém a rota para a sub-rede própria do túnel e deixa o resto da tabela em paz.

É ao desmarcá-la que a maioria das pessoas trava. O site remoto costuma ter mais de um prefixo, e nenhum desses prefixos está dentro da sub-rede do adaptador, então servidores de arquivos e endereços de gerenciamento param de responder. A caixa não quebrou o túnel; ela removeu a rota ampla que cobria tudo.

Configurações mistas são legítimas e comuns: um perfil corporativo mantém a caixa como túnel completo, enquanto um perfil de laboratório é dividido para não deslocar a rota padrão corporativa.

Escolha pelo que cada túnel precisa carregar

Três perguntas decidem o arranjo. Este túnel precisa carregar tráfego comum de internet, ou apenas endereços dentro do próprio site? Os dois sites usam faixas privadas disjuntas? E se o perfil é gerenciado por um empregador, você tem permissão para mudar o comportamento de roteamento dele?

Se um túnel precisa ser completo, ele possui a rota padrão e o outro precisa ser dividido. Se nenhum dos dois precisa de tráfego geral de internet, desmarque a caixa nos dois e deixe o adaptador físico manter a rota padrão. Se as faixas se sobrepõem, pare: 172.22.0.0/16 não pode significar uma máquina do lado corporativo e outra do lado do laboratório, e nenhuma caixa resolve isso.

Anote a decisão ao lado dos nomes dos perfis. Caso contrário, uma terceira VPN acrescentada no próximo trimestre repetirá a investigação desde o começo.

Acrescente os prefixos que faltam e teste o resultado

Para cada túnel dividido, acrescente as faixas remotas explicitamente, usando o endereço de par mostrado naquele adaptador em vez do endereço público do servidor:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

Um adaptador PPP usa o próprio endereço de par como próximo salto, enquanto um adaptador TAP normalmente usa o gateway mostrado naquela interface, então leia os detalhes do adaptador em vez de copiar um número de um guia. Acrescente o sinalizador persistente só depois que a rota se mostrar correta, e apague as entradas persistentes antigas antes de acrescentar substitutas. Clientes gerenciados podem instalar e proteger as próprias rotas, e nesse caso o proprietário do perfil precisa fazer a mudança.

O DNS precisa de uma passagem separada. Os dois túneis podem empurrar resolvedores, e o Windows mantém uma lista por interface com uma ordem de preferência, então um nome da segunda rede pode acabar no resolvedor da primeira. Veja o que cada adaptador realmente recebeu antes de escolher uma correção:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Uma política de resolução de nomes por domínio costuma ser melhor do que substituir a lista global de resolvedores, porque essa lista é compartilhada por todos os aplicativos da máquina e mudá-la em silêncio desloca consultas não relacionadas.

Aceite a configuração com quatro verificações: um recurso em cada rede remota acessível por endereço, uma consulta de nome em cada uma, a rota padrão de internet ainda apontando para o adaptador físico e uma sessão de área de trabalho remota que sobrevive à subida da segunda conexão.