Rozdelený tunel vo Windows: políčko brány a chýbajúci prefix

Windows posiela všetko tunelom, kým neodškrtnete jedno zaškrtávacie pole, a potom príliš málo, kým nepridáte podsieť. Oboje patrí k tej istej zmene.

Tunel hlási, že je pripojený, a wiki sa stále načítava. Potom sa sťahovanie zasekne a zdieľaná zložka na poličke prestane odpovedať. Tunel urobil svoju prácu a profil si jednoducho nárokoval každé cieľové umiestnenie.

Windows považuje pripojenie VPN za rozhodnutie o trase. Kým sa toto rozhodnutie nezúži, stroj sa správa, akoby sa presťahoval do kancelárie.

Prečo funkčný tunel pôsobí ako výpadok

Profil, ktorému je povolené použiť vzdialenú bránu, nainštaluje predvolenú trasu cez tunel. Každé cieľové umiestnenie, ktoré nie je na miestnom spoji, potom odchádza cez kancelársky firewall. Miestne zdieľané zložky prestanú odpovedať, pretože ich prevádzka teraz cestuje na iný kontinent a späť. Nič v stave klienta to neodráža.

Príznaky sú zámerne mätúce. Preklad názvov môže stále fungovať, kým zdieľaná zložka vyprší, alebo naopak. Používateľ hlási, že VPN je pokazená, klient hlási, že je v poriadku, a obe tvrdenia sú presné.

Zaškrtávacie pole ukryté v dialógu IPv4

Nastavenie leží niekoľko dialógov hlboko. Otvorte ncpa.cpl, kliknite pravým tlačidlom na pripojenie, potom vlastnosti IPv4, potom Rozšírené, a zrušte možnosť, ktorá pripojeniu dovoľuje stať sa vzdialenou predvolenou bránou. To jedno pole rozhoduje o tom, či je profil plný tunel. Všetko ostatné v profile stále platí.

Porovnajte route print -4 pred opätovným pripojením a po ňom. Záznam 0.0.0.0, ktorý predtým ukazoval na tunel, by mal zmiznúť a podnikové prefixy by mali zostať.

route print -4 | findstr /c:"0.0.0.0"
Get-VpnConnection -Name 'Work VPN' | Select-Object Name, SplitTunneling, Routes

Zmena metriky rozhrania to nenahradí. Metrika rozhoduje len medzi dvoma konkurenčnými predvolenými trasami a klient, ktorý pri každom pripojení znova nainštaluje svoju predvolenú trasu, ten súboj vyhrá bez ohľadu na nastavené číslo.

Prefix, ktorý nikto neuvedol

Rozdelený tunel sprístupňuje presne tie prefixy zapísané v profile. Kancelárska podsieť pridaná po napísaní profilu zostáva nedostupná, hoci je tunel úplne zdravý. Hlásenie potom dorazí ako jeden pokazený server, a nie ako pokazená VPN.

Trasa pridaná ručne preklenie medzeru, kým sa adresa brány nezmení. Zapísať prefix do pripojenia je pevnejšie, pretože prefix potom nasleduje pripojenie namiesto odhadnutej adresy.

route -p add 172.20.8.0 mask 255.255.255.0 10.8.0.1
Add-VpnConnectionRoute -ConnectionName 'Work VPN' -DestinationPrefix 172.20.8.0/24
Get-VpnConnection -Name 'Work VPN' | Select-Object -ExpandProperty Routes

Čítajte uložený zoznam a živú tabuľku spolu. Uložený prefix môže existovať, kým ho tabuľka nikdy nedostane, čo sa stáva, keď agent správy filtruje trasy po nadviazaní pripojenia. Opak sa tiež deje, keď trasa v registri ukazuje na adaptér, ktorý je vypnutý. Ani jeden pohľad sám nehovorí celý príbeh.

Preukázanie výsledku po reštarte

Trasujte oboma smermi a rozlišujte podľa mena. Verejné trasovanie by malo odísť cez poskytovateľa, vnútorné trasovanie by malo vstúpiť do tunela a vnútorný host by mal odpovedať menom, nie iba adresou.

tracert -4 www.example.com
tracert -4 wiki.corp.example
ping -4 fileserver.corp.example
ping -4 172.20.8.20

Zopakujte po odpojení, opätovnom pripojení a jednom reštarte. Prefix, ktorý prežije ručné opätovné pripojenie a po reštarte zmizne, nebol v profile nikdy uložený.

Nechajte v teste aj tlačiareň a NAS, pretože rozdelený tunel, ktorý odreže zariadenia vedľa notebooku, vyriešil jeden problém tým, že vytvoril menší a otravnejší. Referencia Microsoftu pre Add-VpnConnectionRoute je miesto, kde porovnáte pravopis parametrov s verziou svojho modulu.

Súvisiace články