Zašto vaš Windows VPN gasi lokalni pisač i kako to zaustaviti

Povežite VPN i pisač nestaje, dijeljeni resurs NAS prestaje da se otvara, a sesija udaljenog radnog stola prema računaru pored vas ističe. Ništa se nije pokvarilo. Klijent je dodao zadanu rutu i sada posjeduje svako odredište koje laptop može imenovati, uključujući ona tri metra dalje. To je cijeli mehanizam, a nazivanje toga kvarom VPN-a je ono što popravku od jednog reda pretvara u slučaj podrške.

Prvo pročitajte tablicu ruta

Prije nego što bilo šta promijenite, snimite tablicu IPv4 pomoću route print -4 i sačuvajte izlaz. Povežite se, snimite ponovo i uporedite redove 0.0.0.0: aktivna zadana ruta imenuje interfejs, a ako je taj interfejs tunel, lokalno štampanje i pregledanje prvo se šalju u ured.

Broj interfejsa u drugom stupcu je ono na što se trajna ruta mora kasnije pozvati, zato ga zapišite dok je tunel aktivan. To je i vrijednost koja se mijenja kada se adapter ponovo kreira, zbog čega rute vezane za njega mogu tiho nadživjeti svoju korisnost.

Uklonite zadanu rutu na tri načina

Na ugrađenom Windows profilu kontrola je potvrdni okvir. Otvorite svojstva veze, IPv4, zatim Napredno i poništite Use default gateway on remote network; novija aplikacija Postavke skriva isti dijalog jedan sloj dublje. Iz povišenog prompta ista promjena je jedan cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

Profil OpenVPN radi drugačije, zato njegovo ponašanje zbunjuje ljude koji očekuju potvrdni okvir. Njegova redirect-gateway def1 direktiva uopće ne zamjenjuje zadanu rutu; instalira dvije rute od pola raspona, 0.0.0.0/1 i 128.0.0.0/1, koje zajedno pobjeđuju zadanu rutu bez brisanja. Budući da originalna zadana ruta preživljava, dodavanje prefiksa usmjerenog na net_gateway vraća samo taj prefiks lokalnom ruteru. Taj detalj objašnjava zašto je popravka za def1 profil ruta prefiksa, a ne potvrdni okvir koji niko ne može pronaći.

Vratite samo ono što pripada poslu

Kada zadane rute nema, tunel ne nosi ništa, pa se radni prefiksi moraju izričito imenovati. Cmdlet koji veže prefiks za vezu sigurniji je od trajne rute, jer se instalira samo dok je ta veza aktivna i ne ovisi o broju interfejsa:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Stariji pristup još radi i još je u svakoj kontrolnoj listi: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, s indeksom interfejsa i adresom pristupnika samog tunela. Ostaje nakon ponovnih podizanja, što je poenta i također opasnost, jer indeks pri sljedećem podizanju može pripadati nečem drugom.

Ostalo odlučuju metrike. Ako i fizički i tunelski adapter traže rutu za isti prefiks, pobjeđuje niža metrika, a podizanje metrike tunela legitimna je kontrola na strani klijenta, a ne hak.

Kada server odlučuje umjesto vas

Klijent koji ignorira vaš potvrdni okvir obično slijedi politiku. Cisco profili nose postavku Allow Local LAN Access, a headend može poslati tunnel-all politiku koja nadjačava što god klijent preferirao; u obaveznom tunelu nema lokalnog prekidača za okretanje. Čitajte klijentski log za poslane rute i linije politika umjesto ponovnog provjeravanja istog dijaloga.

Zatim pogledajte razrješavanje imena, koje je odvojen prekidač od rutiranja. Split tunel još može dobiti interni resolver i sufiks za pretragu, pa je lokalni uređaj dostupan po adresi i nenalažljiv po imenu dok se i DNS strana ne popravi.

Preklapanja su drugačiji problem

Ako kućna LAN i uredska LAN dijele prefiks kao što je 192.168.0.0/24, nijedna ruta ih ne može razlikovati. Svaki paket za taj raspon ima jedan rezultat pretrage, a popravka je prenumerisati jednu stranu ili doći do ureda kroz prevedenu adresu iz bazena. Dodavanje specifičnijih ruta samo pomjera koja se polovina mreže kvari.

Završite s jednom provjerom umjesto pet: povežite se, zatim pokrenite tracert prema internom i prema javnom hostu. Prvi hop mora se razlikovati, a ako se ne razlikuje, split nije uspostavljen bez obzira što klijent izvještava. Zatim se jednom ponovo povežite i ponovite, jer se poslane rute vraćaju sa svakom sesijom.