VPN v Windows prevzame ves promet? Odstranite privzeto pot

Povežete se v pisarniški VPN in vsaka stran v brskalniku začne hoditi skozi to omrežje: strežnik datotek je hiter, vse drugo je počasno, filtrirano ali izginulo. Odjemalec se ne obnaša narobe; profil je zahteval celoten tunel. Stikalo, ki to ustavi, je eno potrditveno polje v pogovornem oknu, ki ga sodobna aplikacija Nastavitve ne pokaže, in prehod ima pri vsaki povezavi spet besedo. Ta vodnik sledi vrstnemu redu, ki ga vmesnik Windows v resnici predstavi, nato pa pokrije preverjanja, ki še vedno ne uspejo, ko je tabela poti videti pravilna.

Začnite v lastnostih vmesnika, ne v Nastavitvah

Aplikacija Nastavitve navede profil pod Omrežje in internet, nato VPN, vendar prikaže le splošne možnosti. Odločitev o privzetem prehodu živi na vmesniku. Odprite klasičen seznam vmesnikov s Win+R in ncpa.cpl, z desno tipko kliknite povezavo VPN, izberite Lastnosti, izberite Internetni protokol različica 4, znova Lastnosti in nato Napredno. Počistite Uporabi privzeti prehod v oddaljenem omrežju in potrdite izhod iz vseh treh pogovornih oken.

Pred preizkusom se znova povežite, ker se potrditveno polje uporabi ob vzpostavitvi tunela, obstoječa seja pa obdrži tabelo, ki jo je zgradila. Če vmesnika ni, medtem ko je odjemalec odklopljen, se povežite enkrat in znova odprite okno. Odjemalec ponudnika, ki namesti vmesnik TAP ali Wintun brez strani z lastnostmi IPv4, tega pogovornega okna sploh nima; zanje je ista odločitev možnost razdeljenega tunela v nastavitvah samega odjemalca, potrditveno polje vmesnika pa je napačno mesto za iskanje.

Ista sprememba iz PowerShella

Za profil, ustvarjen v shrambi VPN sistema Windows, je nastavitev mogoče skriptirati, kar je tisto, kar želite, če se stroj pogosto obnavlja:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Ta cmdlet doseže le profile v tej shrambi. Povezava, ki jo doda odjemalec tretje strani, se ne bo prikazala, ukaz pa ne uspe z napako imena, ki se bere kot tipkarska napaka. Upoštevajte tudi, česa stikalo ne naredi: odjemalcu prepreči namestitev privzete poti, ne odstrani pa poti, ki jih prehod potisne ob povezavi, zato je naslednji razdelek v mnogih omrežjih še vedno potreben.

Ko prehod privzeto pot potisne nazaj

Najprej preberite tabelo. Dva privzeta vnosa z različnimi metrikami pomenita, da je sprememba profila delovala in da jo je potisnjena pot vseeno nadomestila:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Izbrišite privzeto pot, ki pripada tunelu, in obdržite fizično. Uporabite indeks vmesnika iz tretjega ukaza, ne vzdevek vmesnika, ker se skripti, ki posredujejo vzdevek, zlomijo takoj, ko se prikazano ime spremeni:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

Brisanje s seboj vzame pisarno, zato dodajte korporativne predpone nazaj skozi prehod tunela. To je vrstica, ki jo ljudje preskočijo, in zato po uspešni spremembi razdeljenega tunela sledi «VPN je nehal delovati»:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Nič od tega ne preživi ponovne povezave, kar je pošteno vedenje in ne hrošč: vmesnik se znova zgradi in odjemalec znova uporabi tisto, o čemer sta se profil in prehod dogovorila. Če se privzeta pot vrača vsakič, je prehod nastavljen tako, da razdeljeni tunel zavrača, in ga bo še naprej potiskal ali pa bo sejo prekinil. To je politika operaterja omrežja in zahteva spada tja, ne v lokalno skripto, ki se s tem bori enkrat na povezavo.

Po eni ponovni povezavi znova preverite DNS, IPv6 in metrike

Odstranitev privzete poti IPv4 ne dokaže ničesar o drugi družini ali o razreševanju imen. Tunel lahko prenaša IPv6, medtem ko privzeta IPv4 ostane lokalna, potisnjen seznam razreševalnikov pa lahko drži notranja imena v teku, medtem ko poizvedbe, ki ga uporabljajo, gredo po drugi poti. Preverite vse tri, preden to označite za končano:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

Če se stanje ob vsaki povezavi vrne, premaknite ukaze v dejanje ob povezavi namesto ročnega urejanja tabele: načrtovana opravila, ki se zažene ob dogodku povezave, ali lastna nastavitev razdeljenega tunela odjemalca, kjer obstaja. Indeks vmesnika hranite v spremenljivki in ga poiščite med izvajanjem, saj se lahko spremeni, ko se vmesniki dodajo ali odstranijo.

Odločite se, čemu ste se odpovedali

Lokalnega internetnega prometa pisarna ne pregleduje ali filtrira več, in vse, kar je objavljeno samo skozi tunel, zdaj potrebuje svojo pot. Nekatere organizacije razdeljeni tunel obravnavajo kot kršitev pravilnika, zato to potrdite pred spremembo upravljanega aparata; potisnjena privzeta pot je včasih mehanizem za uveljavljanje in ne nesreča. Dokumentacija Set-VpnConnection navaja parameter razdeljenega tunela in vrste profilov, za katere velja.

Nato preverite v ustaljenem vrstnem redu: kdo ima privzeto pot, običajno brskanje, enega korporativnega gostitelja po naslovu, eno notranje ime in iste štiri po enkratni ponovni povezavi. Če brskanje deluje in korporativni gostitelj ne uspe, manjka predponova pot in ne privzeta, ki ste jo odstranili, in to je veliko ceneje popraviti kot znova zgraditi profil.