VPN v Windows berie všetku prevádzku? Odstráňte predvolenú trasu

Pripojíte sa k firemnej VPN a každá stránka v prehliadači začne prechádzať tou sieťou: súborový server je rýchly, všetko ostatné je pomalé, filtrované alebo preč. Klient sa nespráva zle; profil si vyžiadal plný tunel. Prepínač, ktorý to zastaví, je jedno začiarkavacie políčko v dialógu, ktorý moderná aplikácia Nastavenia nezobrazuje, a brána má pri každom pripojení opäť slovo. Tento návod sleduje poradie, ktoré rozhranie Windows skutočne ponúka, a potom pokrýva kontroly, ktoré stále zlyhávajú, keď tabuľka trás vyzerá správne.

Začnite vo vlastnostiach adaptéra, nie v Nastaveniach

Aplikácia Nastavenia uvádza profil pod Sieť a internet, potom VPN, ale ponúka len všeobecné možnosti. Rozhodnutie o predvolenej bráne žije na adaptéri. Otvorte klasický zoznam adaptérov pomocou Win+R a ncpa.cpl, kliknite pravým tlačidlom na pripojenie VPN, zvoľte Vlastnosti, vyberte Internet Protocol verzia 4, znova Vlastnosti a potom Rozšírené. Zrušte začiarknutie Použiť predvolenú bránu vo vzdialenej sieti a potvrďte cestu zo všetkých troch dialógov.

Pred testovaním sa znova pripojte, pretože začiarkavacie políčko sa uplatní pri nadviazaní tunela a existujúca relácia si ponechá tabuľku, ktorú vytvorila. Ak adaptér chýba, keď je klient odpojený, pripojte sa raz a znova okno otvorte. Klientsky softvér dodávateľa, ktorý inštaluje adaptér TAP alebo Wintun bez stránky vlastností IPv4, tento dialóg vôbec nemá; pre nich je rovnakým rozhodnutím voľba rozdeleného tunela v nastaveniach samotného klienta a začiarkavacie políčko adaptéra je nesprávne miesto, kde hľadať.

Rovnaká zmena z PowerShellu

Pri profile vytvorenom v úložisku VPN systému Windows sa nastavenie dá skriptovať, čo je presne to, čo chcete, keď sa počítač často obnovuje:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Tento cmdlet dosiahne iba na profily v tomto úložisku. Pripojenie pridané klientom tretej strany sa neobjaví a príkaz zlyhá s chybou názvu, ktorá vyzerá ako preklep. Všimnite si aj, čo prepínač nerobí: bráni klientovi nainštalovať predvolenú trasu, ale neodstraňuje trasy, ktoré brána vnucuje pri pripojení, takže nasledujúca časť je v mnohých sieťach stále potrebná.

Keď brána predvolenú trasu znova vnutí

Najprv si prečítajte tabuľku. Dve predvolené položky s rôznymi metrikami znamenajú, že zmena profilu zabrala a vnútená trasa ju napriek tomu nahradila:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Vymažte predvolenú trasu, ktorá patrí tunelu, a tú fyzickú ponechajte. Použite index rozhrania z tretieho príkazu, nie alias adaptéra, pretože skripty, ktoré odovzdávajú alias, sa rozbijú, hneď ako sa zmení zobrazovaný názov:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

Vymazanie so sebou berie aj kanceláriu, takže firemné predpony pridajte späť cez bránu tunela. To je riadok, ktorý ľudia preskakujú, a to je dôvod, prečo po úspešnej zmene rozdeleného tunela nasleduje „VPN prestala fungovať“:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Nič z toho neprežije opätovné pripojenie, čo je poctivé správanie, nie chyba: adaptér sa znova zostaví a klient znova uplatní to, na čom sa profil a brána dohodli. Ak sa predvolená trasa vracia zakaždým, brána je nastavená tak, že rozdelený tunel odmieta, a bude ju vnucovať ďalej, alebo reláciu ukončí. To je politika prevádzkovateľa siete a požiadavka patrí tam, nie do miestneho skriptu, ktorý s tým bojuje raz pri každom pripojení.

Po jednom opätovnom pripojení skontrolujte DNS, IPv6 a metriky

Odstránenie predvolenej trasy IPv4 nič nedokazuje o druhej rodine ani o preklade názvov. Tunel môže prenášať IPv6, zatiaľ čo predvolená IPv4 zostáva lokálna, a vnútený zoznam resolverov môže držať interné názvy funkčné, aj keď dopyty, ktoré ho používajú, idú inou cestou. Skontrolujte všetky tri, kým to vyhlásite za hotové:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

Ak sa stav pri každom pripojení vracia, presuňte príkazy do akcie pri pripojení namiesto ručnej úpravy tabuľky: naplánovaná úloha spustená udalosťou pripojenia alebo vlastné nastavenie rozdeleného tunela klienta, kde existuje. Držte index rozhrania v premennej a zisťujte ho za behu, pretože sa môže zmeniť, keď sa adaptéry pridajú alebo odoberú.

Rozhodnite, čoho ste sa vzdali

Lokálnu internetovú prevádzku už kancelária nekontroluje ani nefiltruje a čokoľvek publikované iba tunelom teraz potrebuje vlastnú trasu. Niektoré organizácie považujú rozdelený tunel za porušenie politiky, takže to pred zmenou spravovaného zariadenia overte; vnútená predvolená trasa je niekedy nátlakový mechanizmus, nie náhoda. Dokumentácia Set-VpnConnection uvádza parameter rozdeleného tunela a typy profilov, na ktoré sa vzťahuje.

Potom overte v pevnom poradí: komu patrí predvolená trasa, bežné prehliadanie, jeden firemný hostiteľ podľa adresy, jeden interný názov a rovnaké štyri po jedinom opätovnom pripojení. Ak prehliadanie funguje a firemný hostiteľ zlyháva, chýba predponová trasa, nie predvolená, ktorú ste odstránili, a to sa opravuje oveľa lacnejšie než prestavba profilu.