VPN у Windows-у преузима сав саобраћај? Уклоните његову подразумевану руту

Повежете се на канцеларијски VPN и свака страница у прегледачу почиње да иде кроз ту мрежу: сервер датотека је брз, све остало је споро, филтрирано или нестало. Клијент се не понаша погрешно; профил је затражио пун тунел. Прекидач који то зауставља је једно поље за потврду у дијалогу који савремена апликација Подешавања не приказује, а пролаз поново има реч при сваком повезивању. Овај водич прати редослед који Windows интерфејс заиста представља, а затим покрива провере које и даље не успевају када табела рута изгледа исправно.

Почните у својствима адаптера, не у Подешавањима

Апликација Подешавања наводи профил под Мрежа и интернет, затим VPN, али приказује само опште опције. Одлука о подразумеваном пролазу живи на адаптеру. Отворите класичну листу адаптера помоћу Win+R и ncpa.cpl, десним кликом отворите VPN везу, изаберите Својства, изаберите Интернет протокол верзија 4, поново Својства и затим Напредно. Одзначите Користи подразумевани пролаз на удаљеној мрежи и потврдите излаз из сва три дијалога.

Поново се повежите пре тестирања, јер се поље примењује када се тунел успостави, а постојећа сесија задржава табелу коју је изградила. Ако адаптер недостаје док је клијент искључен, повежите се једном и поново отворите прозор. Клијент добављача који инсталира TAP или Wintun адаптер без странице својстава IPv4 уопште нема овај дијалог; за њих је иста одлука опција подељеног тунела у подешавањима самог клијента, а поље адаптера је погрешно место за тражење.

Иста промена из PowerShell-а

За профил направљен у Windows VPN складишту, подешавање се може скриптовати, што је оно што желите ако се машина често преинсталира:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Та cmdlet досеже само профиле у том складишту. Веза коју дода клијент треће стране неће се појавити, а команда не успева са грешком у називу која изгледа као штампарска грешка. Обратите пажњу и на то шта прекидач не ради: спречава клијента да инсталира подразумевану руту, али не уклања руте које пролаз гура при повезивању, па је следећи одељак на многим мрежама још увек потребан.

Када пролаз поново гура подразумевану руту

Прво прочитајте табелу. Два подразумевана уноса са различитим метрикама значе да је промена профила успела и да ју је гурнута рута ипак заменила:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Избришите подразумевану руту која припада тунелу и задржите физичку. Користите индекс интерфејса из треће команде, не псеудоним адаптера, јер скрипте које прослеђују псеудоним пуцају чим се промени приказано име:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

Брисање носи канцеларију са собом, па вратите корпоративне префиксе кроз пролаз тунела. То је ред који људи прескачу и то је разлог зашто после успешне промене подељеног тунела следи „VPN је престао да ради“:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Ништа од овога не преживљава поновно повезивање, што је искрено понашање, а не грешка: адаптер се поново гради и клијент поново примењује оно око чега су се профил и пролаз договорили. Ако се подразумевана рута враћа сваки пут, пролаз је конфигурисан да одбија подељени тунел и наставиће да је гура или ће прекинути сесију. То је политика оператера мреже и захтев припада тамо, а не локалној скрипти која се с тим бори једном по повезивању.

Поново проверите DNS, IPv6 и метрике после једног поновног повезивања

Уклањање подразумеване руте IPv4 ништа не доказује о другој фамилији или о резолуцији имена. Тунел може да носи IPv6 док подразумевана IPv4 остаје локална, а гурнута листа резолвера може да одржава интерна имена у раду док упити који је користе иду другим путем. Проверите сва три пре него што то прогласите готовим:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

Ако се стање враћа при сваком повезивању, преместите команде у радњу при повезивању уместо ручног уређивања табеле: заказани задатак покренут догађајем везе или сопствено подешавање подељеног тунела клијента где постоји. Држите индекс интерфејса у променљивој и тражите га у време извршавања, јер се може променити када се адаптери додају или уклањају.

Одлучите чега сте се одрекли

Локални интернет саобраћај више не прегледа нити филтрира канцеларија, а све што се објављује само кроз тунел сада захтева сопствену руту. Неке организације сматрају подељени тунел кршењем политике, па то потврдите пре промене управљаног уређаја; гурнута подразумевана рута је понекад механизам спровођења, а не случајност. Документација Set-VpnConnection наводи параметар подељеног тунела и типове профила на које се примењује.

Затим проверите фиксним редом: коме припада подразумевана рута, обично прегледање, један корпоративни домаћин по адреси, једно интерно име и иста четири после једног поновног повезивања. Ако прегледање ради, а корпоративни домаћин не успева, недостаје префиксна рута, а не подразумевана коју сте уклонили, и то је много јефтиније поправити него поново градити профил.