Izuzimanje jednog hosta iz zadane rute Windows VPN-a

Prijenosnik se povezuje s uredskim VPN-om i sve ide za njim, uključujući web stranicu pisača i jedan intranet koji odgovara samo na lokalnoj mreži. Ručno napravljena ruta to popravi na sat vremena, zatim veza padne, vrati se i izuzetak nestane. S tunelom nije ništa pogrešno: Windows drži jednu tablicu usmjeravanja, a VPN adapter prepisuje svoj dio te tablice pri svakom povezivanju. Ono što preživi je sve što živi izvan vlastitih unosa adaptera.

Koji unos tunel preuzima

Zabilježite tablicu dvaput, jednom s isključenim tunelom i jednom s uključenim, pa usporedite zadane retke. Kad profil zatraži zadani prefiks, unos adaptera je najširi redak u tablici, pa svaki izuzetak mora biti uži od njega. To je aritmetika o duljini prefiksa, a ne tvrdnja o povjerenju ili politici. Ona također određuje koje sučelje izuzetak mora navesti.

Zapišite indeks sučelja i lokalni gateway prije nego nastavite, jer se oboje mijenja kad se stroj pridruži drugoj mreži. Naredbe ispod ih čitaju sa stroja, a ne iz pamćenja.

route print -4
Find-NetRoute -RemoteIPAddress 198.51.100.30

Druga naredba prijavljuje sučelje i sljedeći skok koje bi ta jedna adresa sada koristila, što je bolje od čitanja četrdeset redaka i nagađanja. Pokrenite je prije i poslije povezivanja i imate par koji vrijedi priložiti zapisu o promjeni. Oba izlaza daju brojeve korištene u ostatku ove stranice.

Ruta do hosta pobjeđuje specifičnošću

Podudaranje najduljeg prefiksa odlučuje pobjednika, pa /32 kroz fizički gateway pobjeđuje zadanu rutu kroz tunel, a tunel se pritom ne dira. Promet do te adrese izlazi kroz lokalno sučelje dok sve ostalo zadržava svoju stazu. Tunel i dalje nosi zadanu rutu i jednostavno prestaje biti jedini kandidat za to odredište. Duljina prefiksa jedina je poluga koju tablica nudi, i za ovaj posao je dovoljna.

Specifičnost također isključuje očigledan prečac izuzimanja imena domene, jer tablica uparuje adrese i jedno se ime može razriješiti u nekoliko njih. Prvo razriješite host, pa odlučite koja njegova adresa zaslužuje izuzetak.

Za sve ispod pretpostavite vezu zvanu Office, lokalni gateway 10.0.0.1 na sučelju 7 i odredište 198.51.100.30. To su zamjenske, a ne zadane vrijednosti, i naredbe iznad daju vrijednosti koje vaš stroj stvarno koristi. Držite tu bilješku o zamjeni uz promjenu da sljedeći čitatelj ne kopira brojeve.

Neka ruta nadživi sljedeće ponovno povezivanje

Windows ne nudi uputu za izuzimanje na VPN vezi, pa izuzetak mora živjeti na fizičkom sučelju gdje ga adapter neće prepisati. Cmdlet koji izgleda kao odgovor radi suprotno: Add-VpnConnectionRoute premješta prefiks u tunel, a to je zrcalni slučaj gdje podijeljeni profil treba nositi jedno odredište i ostaviti ostalo lokalno. Posezanje za njim ovdje jamči da promet koji ste htjeli držati vani uđe unutra.

Ručni oblik je jedna naredba. Njegova slabost je promjena mreže, a ne ponovno povezivanje.

route -p add 198.51.100.30 mask 255.255.255.255 10.0.0.1 metric 1 if 7

To preživi restart zahvaljujući -p i šalje jednu adresu kroz sučelje 7 dok tunel nosi sve ostalo. Premjestite prijenosnik na drugu mrežu i gateway i indeks zastare, pa unos tiho zakaže. Zabilježite kome pripada i kada ga treba ukloniti.

Skripta za povezivanje čvršća je verzija, jer ponovno dodaje izuzetak nakon svake veze umjesto da se nada da je unos preživio. Dva retka ispod pripadaju onome što pokreće tunel, a ne prijavnoj skripti.

rasdial Office
route add 198.51.100.30 mask 255.255.255.255 10.0.0.1 metric 1 if 7

Što god podigne tunel, pravo je mjesto za drugi redak, i rasdial se vraća tek nakon što je veza uspostavljena, pa ruta padne iza vlastitih unosa adaptera. Pokrenite je ponovno nakon buđenja, jer suspenzija može ispustiti rutu i ostaviti tunel podignutim. Ako je zadatak obrnut, guranje jednog prefiksa u tunel dok ostatak ostaje lokalno, onda je Add-VpnConnectionRoute pravi alat.

Usmjeravanje ne može odabrati proces

Ponekad je zahtjev uži od odredišta: jedan program treba ići lokalnom stazom dok sve ostalo ostaje u tunelu. Usmjeravanje to ne može izraziti, jer uparuje adrese, a ne procese. Izvediv uzorak gura problem u pokretač.

Držite profil izvan zadane rute i pokrenite taj jedan program vezan na adresu lokalnog sučelja, pa izuzetak postaje naredba za pokretanje, a tunel zadržava ono što je već obrađivao. Ništa se u tablici usmjeravanja ne mijenja i zato to preživljava ponovna povezivanja. To također znači da tunel ne smije posjedovati zadanu rutu od početka, pa je ovo drukčiji dizajn, a ne zakrpa na prethodni.

Njegova slabost je operativna, a ne tehnička. Program mora uvijek startati kroz omotač, a ako veza nedostaje nakon buđenja, tiho uzme koju god stazu tablica ponudi. To je podnošljivo za preglednik koji otvorite namjerno i neprihvatljivo za sve što nikada ne smije napustiti tunel.

Veze po korisniku ni ovo ne rješavaju. Windows može ograničiti vezu na račun dok tablica usmjeravanja ostaje na razini stroja, pa veza ograničena na račun koja drži zadanu rutu i dalje preusmjerava svaki proces na stroju, uključujući druge sesije. Opseg postaje stvaran tek kad se opseg rute poklopi s računom. Dvije osobe koje dijele jedan prijenosnik zato dijele jednu tablicu, a druga naslijedi koji god tunel je prva pokrenula.

Potvrdite da je izuzetak preživio ponovno povezivanje

Testirajte promjenu onako kako će pasti: prekinite vezu, povežite se ponovno, otvorite novu aplikaciju, zatim zatražite jednu adresu koja mora ostati lokalna i jednu koja mora ići kroz tunel. Usporedite obje s Find-NetRoute u povezanom stanju.

Ako prefiks nakon ponovnog povezivanja nedostaje u tablici, on živi u pogrešnom objektu, a ne u pogrešnom formatu. Premjestite ga na fizičko sučelje i ponovite test. Sačuvajte oba izlaza naredbi uz zapis o promjeni, jer snimka radnog stanja kasnije odgovara na više pitanja od odlomka objašnjenja. Sljedeća osoba željet će znati što je povezivanje proizvelo, a ne što ste namjeravali da proizvede.