Zakaj vaš Windows VPN ubije lokalni tiskalnik in kako to ustaviti

Povežite VPN in tiskalnik izgine, skupna mapa NAS se neha odpirati, seja Oddaljenega namizja do računalnika poleg vas pa poteče. Nič se ni pokvarilo. Odjemalec je dodal privzeto pot in zdaj ima v lasti vsak cilj, ki ga prenosnik lahko poimenuje, vključno s tistimi tri metre stran. To je celoten mehanizem, in če temu rečete okvara VPN, je prav to tisto, kar popravek v eni vrstici spremeni v primer za podporo.

Najprej preberite tabelo poti

Preden karkoli spremenite, zajemite tabelo IPv4 s route print -4 in shranite izhod. Povežite se, zajemite znova in primerjajte vrstice 0.0.0.0: aktivna privzeta pot navaja vmesnik, in če je ta vmesnik tunel, se lokalno tiskanje in brskanje najprej pošljeta v pisarno.

Številka vmesnika v drugem stolpcu je tisto, na kar se bo morala trajna pot kasneje sklicevati, zato si jo zapišite, dokler je tunel aktiven. To je tudi vrednost, ki se spremeni ob ponovnem ustvarjanju adapterja, zato lahko poti, pripete nanjo, tiho preživijo svojo uporabnost.

Odstranite privzeto pot, na tri načine

V vgrajenem profilu Windows je nadzor potrditveno polje. Odprite lastnosti povezave, IPv4, nato Napredno, in počistite Use default gateway on remote network; novejša aplikacija Nastavitve skrije isto pogovorno okno eno plast globlje. Iz povzdignjenega ukaznega poziva je ista sprememba en cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

Profil OpenVPN deluje drugače, zato njegovo vedenje zmede tiste, ki pričakujejo potrditveno polje. Njegova redirect-gateway def1 direktiva privzete poti sploh ne zamenja; namesti dve poti polovičnega obsega, 0.0.0.0/1 in 128.0.0.0/1, ki skupaj premagata privzeto, ne da bi jo izbrisali. Ker prvotna privzeta preživi, dodajanje predpone, usmerjene na net_gateway, pošlje nazaj lokalnemu usmerjevalniku samo to predpono. Ta podrobnost pojasnjuje, zakaj je popravek za profil def1 pot predpone in ne potrditveno polje, ki ga nihče ne najde.

Dodajte nazaj samo tisto, kar sodi k delu

Brez privzete poti tunel ne prenaša ničesar, zato je treba delovne predpone izrecno poimenovati. Cmdlet, ki predpono veže na povezavo, je varnejši od trajne poti, ker se namesti samo, dokler je ta povezava aktivna, in ni odvisen od številke vmesnika:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Starejši pristop še vedno deluje in je še vedno na vsakem kontrolnem seznamu: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, z lastnim indeksom vmesnika in naslovom prehoda tunela. Ostane čez ponovne zagone, kar je namen in tudi nevarnost, saj lahko indeks ob naslednjem zagonu pripada nečemu drugemu.

Ostalo odločijo metrike. Če tako fizični kot tunelski adapter zahtevata pot za isto predpono, zmaga nižja metrika, in dvig metrike tunela je zakonit nadzor na strani odjemalca, ne hekanje.

Ko se strežnik odloči namesto vas

Odjemalec, ki ignorira vaše potrditveno polje, običajno uboga politiko. Profili Cisco nosijo nastavitev Allow Local LAN Access, in headend lahko potisne politiko tunnel-all, ki razveljavi, kar bi odjemalec raje imel; pri obveznem tunelu ni nobenega lokalnega stikala za preklop. Berite dnevnik odjemalca za potisnjene poti in vrstice politike, namesto da bi znova preverjali isto pogovorno okno.

Nato poglejte razreševanje imen, ki je ločeno stikalo od usmerjanja. Razdeljen tunel lahko še vedno prejme notranji resolver in iskalno pripono, zato je lokalna naprava dosegljiva po naslovu in neišljiva po imenu, dokler tudi stran DNS ni popravljena.

Prekrivanja so druga težava

Če si domači LAN in pisarniški LAN delita predpono, kot je 192.168.0.0/24, ju nobena pot ne more razlikovati. Vsak paket za to območje ima en sam rezultat iskanja, popravek pa je preštevilčenje ene strani ali doseganje pisarne prek prevedenega naslova iz bazena. Dodajanje bolj specifičnih poti samo premakne, katera polovica omrežja se zlomi.

Končajte z enim preverjanjem namesto s petimi: povežite se in nato zaženite tracert proti notranjemu in javnemu gostitelju. Prvi skok bi se moral razlikovati, in če se ne, razdelitev ne velja, ne glede na to, kaj odjemalec poroča. Nato se enkrat znova povežite in ponovite, ker se potisnjene poti vrnejo z vsako sejo.