Prečo váš Windows VPN zabíja miestnu tlačiareň a ako to zastaviť

Pripojte VPN a tlačiareň zmizne, zdieľaná zložka NAS sa prestane otvárať a relácia Vzdialenej plochy k počítaču vedľa vás vyprší. Nič sa nepokazilo. Klient pridal predvolenú trasu a teraz vlastní každý cieľ, ktorý notebook dokáže pomenovať, vrátane tých tri metre ďalej. To je celý mechanizmus a nazvať to poruchou VPN je presne to, čo z opravy na jeden riadok robí prípad pre podporu.

Najprv si prečítajte tabuľku trás

Predtým, než čokoľvek zmeníte, zachyťte tabuľku IPv4 pomocou route print -4 a výstup si uložte. Pripojte sa, zachyťte znova a porovnajte riadky 0.0.0.0: aktívna predvolená trasa pomenúva rozhranie, a ak je tým rozhraním tunel, miestna tlač a prehliadanie sa posielajú najprv do kancelárie.

Číslo rozhrania v druhom stĺpci je to, na čo musí trvalá trasa neskôr odkazovať, tak si ho zapíšte, kým je tunel aktívny. Je to aj hodnota, ktorá sa mení pri opätovnom vytvorení adaptéra, a preto trasy na ňu pripnuté môžu potichu prežiť svoju užitočnosť.

Odstráňte predvolenú trasu, tromi spôsobmi

Vo vstavanom profile Windows je ovládanie zaškrtávacie políčko. Otvorte vlastnosti pripojenia, IPv4, potom Rozšírené a zrušte Use default gateway on remote network; novšia aplikácia Nastavenia skrýva ten istý dialóg o vrstvu hlbšie. Z príkazového riadka spusteného ako správca je tá istá zmena jeden cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

Profil OpenVPN funguje inak, a preto jeho správanie mätie tých, ktorí čakajú zaškrtávacie políčko. Jeho redirect-gateway def1 direktíva predvolenú trasu vôbec nenahrádza; nainštaluje dve trasy polovičného rozsahu, 0.0.0.0/1 a 128.0.0.0/1, ktoré spoločne porazia predvolenú trasu bez toho, aby ju vymazali. Keďže pôvodná predvolená trasa prežíva, pridanie prefixu smerujúceho na net_gateway pošle späť do miestneho routera len ten prefix. Ten detail vysvetľuje, prečo je oprava pre profil def1 trasou prefixu a nie zaškrtávacím políčkom, ktoré nikto nenájde.

Vráťte len to, čo patrí práci

Bez predvolenej trasy tunel nič neprenáša, takže pracovné prefixy treba pomenovať výslovne. Cmdlet, ktorý pripája prefix k pripojeniu, je bezpečnejší ako trvalá trasa, pretože sa inštaluje len počas aktivity tohto pripojenia a nezávisí od čísla rozhrania:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Starší prístup stále funguje a stále je v každom kontrolnom zozname: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, s vlastným indexom rozhrania a adresou brány tunela. Pretrváva cez reštarty, čo je zmysel a zároveň riziko, keďže index môže pri ďalšom štarte patriť niečomu inému.

Ostatné rozhodujú metriky. Ak fyzický aj tunelový adaptér žiadajú trasu pre rovnaký prefix, vyhráva nižšia metrika, a zvyšovanie metriky tunela je legitímna kontrola na strane klienta, nie hack.

Keď server rozhodne za vás

Klient, ktorý ignoruje vaše zaškrtávacie políčko, zvyčajne poslúcha politiku. Profily Cisco nesú nastavenie Allow Local LAN Access, a headend môže poslať politiku tunnel-all, ktorá prepíše, čo by klient uprednostnil; pri povinnom tuneli neexistuje miestny prepínač na prepnutie. Čítajte log klienta kvôli poslaným trasám a riadkom politiky namiesto opätovnej kontroly toho istého dialógu.

Potom sa pozrite na preklad mien, ktorý je samostatný prepínač od smerovania. Rozdelený tunel môže stále dostať interný resolver a vyhľadávací sufix, takže miestne zariadenie je dostupné podľa adresy a nenájde sa podľa mena, kým sa neopraví aj strana DNS.

Prekrytia sú iný problém

Ak domáca LAN a firemná LAN zdieľajú prefix ako 192.168.0.0/24, žiadna trasa ich nedokáže rozlíšiť. Každý paket pre tento rozsah má jediný výsledok vyhľadania a opravou je prečíslovať jednu stranu alebo sa do kancelárie dostať cez preloženú adresu z poolu. Pridanie konkrétnejších trás len posúva, ktorá polovica siete sa pokazí.

Skončite jedným overením namiesto piatich: pripojte sa a potom spustite tracert voči internému a voči verejnému hostiteľovi. Prvý skok by sa mal líšiť, a ak sa nelíši, rozdelenie nie je v platnosti, čokoľvek klient hlási. Potom sa raz znova pripojte a zopakujte, pretože poslané trasy sa vracajú s každou reláciou.