Două VPN Windows simultan: care profil păstrează ruta implicită?

Conectați al doilea tunel și primul tace, deși ambii clienți raportează încă o conexiune sănătoasă. Windows are o singură rută implicită de oferit, iar fiecare profil care o revendică o ia de la celălalt. Simptomul arată ca o cădere a VPN-ului, dar este o competiție de rutare între două profiluri. Decideți care tunel trebuie să dețină acea rută și restul configurației urmează.

Doar o singură intrare poate fi cea mai bună rută implicită

Tabela de rutare IPv4 păstrează o singură rută câștigătoare pentru destinațiile care nu au o potrivire mai specifică. Un profil VPN care instalează una proprie o înlocuiește pe cea anterioară imediat ce se conectează, iar traficul care intra înainte în primul tunel iese acum prin al doilea. Primul tunel rămâne activ; ceea ce dispare este orice pachet care l-ar fi folosit pentru destinații generale.

Pictogramele de stare ale clientului nu pot arăta asta. Ele raportează că un tunel a fost stabilit, nu ce prefixe sunt încă rutate către el, așa că utilizatorul vede două pictograme verzi și o expirare într-o aplicație. Citirea route print -4 în timpul defecțiunii este mai informativă decât orice jurnal VPN.

Rezolvarea numelor este un al doilea conflict independent, iar repararea doar a tabelei de rutare nu îl va rezolva.

Ce instalează caseta și ce elimină

Opțiunea se află în proprietățile adaptorului fiecărui profil VPN, la setările avansate IPv4, formulată ca utilizarea gateway-ului implicit în rețeaua la distanță. Activată, fiecare conexiune adaugă o rută implicită prin tunel și pune acea interfață la rând pentru traficul general. Dezactivată, Windows păstrează ruta pentru subrețeaua proprie a tunelului și lasă restul tabelei în pace.

Tocmai la debifarea casetei majoritatea oamenilor se blochează. Site-ul la distanță are de obicei mai mult de un prefix, iar niciunul dintre acele prefixe nu se află în subrețeaua adaptorului, așa că serverele de fișiere și adresele de administrare nu mai răspund. Caseta nu a stricat tunelul; a eliminat ruta largă care acoperea totul.

Configurațiile mixte sunt legitime și frecvente: un profil corporativ păstrează caseta ca tunel complet, în timp ce un profil de laborator este divizat ca să nu poată înlocui ruta implicită corporativă.

Alegeți după ce trebuie să transporte fiecare tunel

Trei întrebări decid aranjamentul. Trebuie acest tunel să transporte trafic obișnuit de internet sau doar adrese din propriul site? Folosesc cele două site-uri intervale private disjuncte? Și dacă profilul este administrat de un angajator, aveți voie să îi schimbați comportamentul de rutare?

Dacă un tunel trebuie să fie complet, el deține ruta implicită, iar celălalt trebuie să fie divizat. Dacă niciunul nu are nevoie de trafic general de internet, debifați caseta la ambele și lăsați adaptorul fizic să păstreze ruta implicită. Dacă intervalele se suprapun, opriți-vă: 172.22.0.0/16 nu poate însemna o mașină pe partea corporativă și alta pe partea laboratorului, iar nicio casetă nu rezolvă asta.

Notați decizia lângă numele profilurilor. Altfel un al treilea VPN adăugat în trimestrul următor va repeta investigația de la început.

Adăugați prefixele lipsă și testați rezultatul

Pentru fiecare tunel divizat, adăugați explicit intervalele la distanță, folosind adresa de partener afișată pe acel adaptor în locul adresei publice a serverului:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

Un adaptor PPP folosește adresa sa de partener ca următor salt, în timp ce un adaptor TAP folosește de obicei gateway-ul afișat pe acea interfață, așa că citiți detaliile adaptorului în loc să copiați un număr dintr-un ghid. Adăugați indicatorul persistent numai după ce ruta s-a dovedit corectă și ștergeți intrările persistente vechi înainte de a adăuga înlocuitori. Clienții administrați pot instala și proteja propriile rute, iar atunci proprietarul profilului trebuie să facă modificarea.

DNS-ul are nevoie de o trecere separată. Ambele tuneluri pot impune resolveri, iar Windows ține o listă pentru fiecare interfață cu o ordine de preferință, așa că un nume din a doua rețea poate ajunge la resolverul primei rețele. Uitați-vă ce a primit efectiv fiecare adaptor înainte de a alege o soluție:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

O politică de rezolvare a numelor pe domeniu este de obicei mai bună decât înlocuirea listei globale de resolveri, pentru că acea listă este partajată de fiecare aplicație de pe mașină, iar schimbarea ei în tăcere mută interogări fără legătură.

Acceptați configurația cu patru verificări: o resursă în fiecare rețea la distanță accesibilă prin adresă, o căutare de nume în fiecare, ruta implicită de internet încă îndreptată spre adaptorul fizic și o sesiune de desktop la distanță care supraviețuiește ridicării celei de-a doua conexiuni.