Зашто ваш Windows VPN убија локални штампач и како то зауставити

Повежите VPN и штампач нестаје, дељена фасцикла NAS престаје да се отвара, а сесија удаљене радне површине ка рачунару поред вас истиче. Ништа се није покварило. Клијент је додао подразумевану руту и сада поседује свако одредиште које лаптоп може да именује, укључујући она три метра даље. То је цео механизам, а називање тога кваром VPN-а је управо оно што поправку од једне линије претвара у случај за подршку.

Прво прочитајте табелу рута

Пре него што било шта промените, снимите табелу IPv4 помоћу route print -4 и сачувајте излаз. Повежите се, снимите поново и упоредите линије 0.0.0.0: активна подразумевана рута именује интерфејс, и ако је тај интерфејс тунел, локално штампање и прегледање се прво шаљу у канцеларију.

Број интерфејса у другој колони је оно на шта трајна рута мора касније да се позива, зато га запишите док је тунел активан. То је и вредност која се мења када се адаптер поново направи, због чега руте прикачене на њега могу тихо да надживе своју корист.

Уклоните подразумевану руту, на три начина

На уграђеном Windows профилу контрола је поље за штиклирање. Отворите својства везе, IPv4, затим Напредно и обришите Use default gateway on remote network; новија апликација Подешавања крије исти дијалог један слој дубље. Из подигнуте командне линије иста промена је један cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

OpenVPN профил ради другачије, због чега његово понашање буни оне који очекују поље за штиклирање. Његова redirect-gateway def1 директива уопште не замењује подразумевану руту; инсталира две руте пола опсега, 0.0.0.0/1 и 128.0.0.0/1, које заједно побеђују подразумевану без брисања. Пошто оригинална подразумевана преживљава, додавање префикса усмереног ка net_gateway враћа само тај префикс локалном рутеру. Тај детаљ објашњава зашто је поправка за def1 профил рута префикса, а не поље за штиклирање које нико не може да нађе.

Вратите само оно што припада послу

Без подразумеване руте тунел не носи ништа, зато радни префикси морају бити изричито именовани. Cmdlet који везује префикс за везу безбеднији је од трајне руте, јер се инсталира само док је та веза активна и не зависи од броја интерфејса:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Старији приступ и даље ради и даље је на свакој контролној листи: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, са сопственим индексом интерфејса и адресом мрежног пролаза тунела. Опстаје кроз поновна покретања, што је циљ и такође опасност, јер индекс при следећем покретању може припадати нечему другом.

Остало одлучују метрике. Ако и физички и тунелски адаптер траже руту за исти префикс, побеђује нижа метрика, а подизање метрике тунела је легитимна контрола на страни клијента, а не хак.

Када сервер одлучује уместо вас

Клијент који игнорише ваше поље за штиклирање обично се покорава политици. Cisco профили носе подешавање Allow Local LAN Access, и headend може да гурне tunnel-all политику која поништава шта год клијент пожели; у обавезном тунелу нема локалног прекидача да се окрене. Читајте дневник клијента за гурнуте руте и линије политике уместо да поново проверавате исти дијалог.

Затим погледајте разрешавање имена, које је одвојен прекидач од рутирања. Подељени тунел и даље може добити интерни resolver и суфикс за претрагу, па је локални уређај доступан по адреси и не проналази се по имену док се и страна DNS не поправи.

Преклапања су другачији проблем

Ако кућни LAN и канцеларијски LAN деле префикс као 192.168.0.0/24, ниједна рута не може да их разликује. Сваки пакет за тај опсег има један резултат претраге, а поправка је пренумерисати једну страну или доћи до канцеларије преко преведене адресе из базена. Додавање специфичнијих рута само помера то која половина мреже се квари.

Завршите са једном провером уместо пет: повежите се, затим покрените tracert према интерном и према јавном хосту. Први скок треба да се разликује, и ако се не разликује, подела није на снази шта год клијент извештавао. Затим се још једном повежите и поновите, јер се гурнуте руте враћају са сваком сесијом.