Windows இல் VPN உண்மையில் எதை வழிமாற்றுகிறது என்பதை PowerShell இல் சரிபார்ப்பது எப்படி
இணைக்கப்பட்ட VPN ஓடு பாதுகாப்பை நிரூபிக்காது. சேமிக்கப்பட்ட சுயவிவரக் கொடி, நேரடி வழித்தட அட்டவணை மற்றும் NRPT விதிகளை இந்த வரிசையில் படிக்கவும்.
Windows 11 மடிக்கணினியில் VPN கிளையண்டை இணைத்தேன், ஓடு Connected ஆனது, உள் கோப்புப் பங்கீடு திறந்தது, மேலும் ஒரு பொது இணையதளம் இன்னும் அலுவலக Wi-Fi இலிருந்து நேரடியாக ஏற்றப்பட்டது. இந்தக் கலவை உடைந்த சுரங்கப்பாதை போலத் தெரிகிறது. ஆனால் இது சில போக்குவரத்தை VPN வழியாக அனுப்பி மீதியை இயற்பியல் அடாப்டரில் விட்டுவிடும் சுயவிவரத்தின் இயல்பான வெளியீடு. கட்டாயச் சுரங்கப்பாதை Windows எந்த இயல்புநிலை வழியை விரும்புகிறது என்பதை மாற்றுகிறது; அது குறிப்பிட்ட வழிகளை நீக்காது, இணைப்பு துண்டிக்கும்போது போக்குவரத்து நிற்கும் என்று உறுதியும் அளிக்காது. அடுத்து, ஒரு கிளையண்ட் பாதுகாப்பைக் கூறும்போது நான் பின்பற்றும் வரிசை: கிளையண்ட் நிலை, சேமிக்கப்பட்ட சுயவிவரம், பயன்படுத்தப்பட்ட வழிகள், தீர்வி, பின்னர் உண்மையான ஓட்டங்கள்.
கிளையண்டில் தொடங்கி, பின்னர் அதை நம்புவதை நிறுத்துங்கள்
எந்தச் சுயவிவரம் செயலில் உள்ளது என்று சொல்வதால் மட்டுமே கிளையண்ட் தொடங்க சரியான இடம். இணைப்பின் பண்புகளைத் திறந்து சரியான சுயவிவரப் பெயர், அது தற்போதைய பயனருக்கா அல்லது இயந்திரத்தில் உள்ள அனைவருக்குமா உருவாக்கப்பட்டது, இணைத்த பிறகு ncpa.cpl இல் எந்த அடாப்டர் தோன்றுகிறது என்பதைக் குறிப்பிடுங்கள். எனது சோதனை மடிக்கணினியில் அடாப்டர் சுயவிவரப் பெயரைக் கொண்டிருந்தது, இது வழி வெளியீட்டைப் படிக்க எளிதாக்கியது. மற்ற இயந்திரங்களில் இது WAN Miniport பதிவாகத் தோன்றும், பெயர் உங்களுக்கு எதையும் சொல்லாது.
கிளையண்ட் சொல்ல முடியாதது பாதுகாப்பு. இணைக்கப்பட்ட ஓடு சுரங்கப்பாதையின் நிலையை விவரிக்கிறது, இலக்குகளின் பட்டியலை அல்ல. மூன்றாம் தரப்பு கிளையண்டுகளும் தங்கள் சொந்த உள்ளமைவை வைத்திருக்கின்றன, எனவே சொந்த Windows சுயவிவரமும் அதிலிருந்து நீங்கள் படிக்கும் ஒவ்வொரு பண்பும் அந்தக் கிளையண்ட் நிறுவியதுடன் தொடர்பில்லாமல் இருக்கலாம். VPN AnyConnect, OpenVPN GUI, WireGuard அல்லது விற்பனையாளர் முகவர் வழியாக வந்திருந்தால், கீழே உள்ள PowerShell சோதனைகள் பெரும்பாலும் பொருந்தாது, அதற்குப் பதிலாக அந்தக் கிளையண்டின் சொந்த split-tunnel மற்றும் வழிமாற்ற அமைப்புகளைப் படிக்க வேண்டும்.
சேமிக்கப்பட்ட சுயவிவரத்தைப் படியுங்கள், ஓடு அல்ல
சொந்த Windows சுயவிவரத்திற்கு (IKEv2, L2TP, SSTP அல்லது MDM தள்ளிய ஒன்று) சேமிக்கப்பட்ட split-tunnel முடிவு ஒரே பண்பு:
Get-VpnConnection -Name 'Office' | Select-Object Name, ServerAddress, SplitTunneling, DnsSuffixசுயவிவரம் சாதனத்தில் உள்ள அனைவருக்கும் உருவாக்கப்பட்டிருந்தால் -AllUserConnection சேர்க்கவும். அது இல்லாமல் தற்போதைய பயனரின் பட்டியலைப் படிக்கிறீர்கள், அது காலியாக இருக்கலாம் அல்லது ஒத்த பெயரில் மற்றொரு பதிவைக் கொண்டிருக்கலாம். False மதிப்பு SplitTunneling இல் இருந்தால் சுயவிவரம் முழு சுரங்கப்பாதையாகச் சேமிக்கப்பட்டது என்று பொருள்: Windows VPN அடாப்டர் வழியாக இயல்புநிலை வழியை நிறுவுகிறது. True என்பது split tunnel, பாதுகாப்பு அப்போது அந்தச் சுயவிவரம் தள்ளும் வழிகள் மற்றும் பெயர் தீர்வு விதிகளை முழுமையாகச் சார்ந்தது.
அந்த மதிப்பை உள்ளமைவாகக் கருதுங்கள், கவனிப்பாக அல்ல. இணைக்கும் நேரத்தில் சுயவிவரம் எதைக் கேட்டது என்பதைப் பதிவு செய்கிறது. மற்றொரு இடைமுகத்தின் குறிப்பிட்ட வழி, கொள்கை அமைப்பு அல்லது முந்தைய இணைப்பின் எஞ்சிய பதிவு காரணமாக Windows வேறுபட்ட பயன்படுத்தப்பட்ட வழிகளுடன் முடியலாம், எனவே பூலியன் தனியாகக் கேள்வியைத் தீர்க்காது.
சேமிக்கப்பட்ட மதிப்பைப் பயன்படுத்தப்பட்ட வழித்தட அட்டவணையுடன் ஒப்பிடுங்கள்
இணைத்த பிறகு முழு அட்டவணையையும் உருட்டுவதற்குப் பதிலாக சுரங்கப்பாதை அடாப்டரின் வழிகளைப் பட்டியலிடுங்கள்:
$vpn = Get-NetAdapter | Where-Object InterfaceDescription -match 'VPN|WAN Miniport'
Get-NetRoute -InterfaceIndex $vpn.ifIndex | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.20.4.15 | Select-Object -First 1Find-NetRoute பயனுள்ள பாதி. கிளையண்ட் ஒருபோதும் பதிலளிக்காத கேள்விக்கு இது பதிலளிக்கிறது: இந்த இலக்கிற்கு Windows உண்மையில் எந்த இடைமுகத்தையும் எந்த மூல முகவரியையும் பயன்படுத்தும்? உள் ஹோஸ்ட், பொது ஹோஸ்ட் மற்றும் நீங்கள் வேண்டுமென்றே விதிவிலக்கு எனக் கருதும் அனைத்திற்கும் இதை இயக்கவும். முழு சுரங்கப்பாதை சுயவிவரம் பொது முகவரிக்கு சுரங்கப்பாதை இடைமுகத்தைக் காட்ட வேண்டும். split tunnel சுயவிவரம் பொதுவாக அங்கு இயற்பியல் அடாப்டரைக் காட்டும், உள் முன்னொட்டுகள் இன்னும் VPN க்கு தீர்க்கப்படுகின்றன.
«இது தவறான திசையில் வழிமாற்றுகிறது» என்ற பெரும்பாலான அறிக்கைகளை இரண்டு பொறிகள் விளக்குகின்றன. மிகக் குறிப்பிட்ட முன்னொட்டு எப்போதும் வெல்லும், எனவே இயற்பியல் அடாப்டரில் உள்ள /24 சுரங்கப்பாதையின் அளவீடு எவ்வளவு குறைவாக இருந்தாலும் VPN இன் இயல்புநிலை வழியை வெல்லும். அளவீடு ஒரே முன்னொட்டின் வழிகளுக்கு இடையிலான சமநிலையை மட்டுமே தீர்க்கிறது. மேலும் IPv4 மற்றும் IPv6 தனித்தனியாகத் தீர்மானிக்கப்படுகின்றன: 0.0.0.0/0 ஐ உள்ளடக்கும் சுயவிவரம் IPv6 ஐ உள்ளூர் இணைப்பில் விடலாம், இது இரட்டை-அடுக்கு தளம் பாதி சுரங்கப்பாதையாகத் தெரிய வைக்கிறது. சுரங்கப்பாதை சரியானது என்று முடிவெடுக்கும் முன் Get-NetRoute -AddressFamily IPv6 சரிபார்க்கவும்.
| What you see | Most likely cause | Check next |
|---|---|---|
| Public traffic leaves the physical adapter while SplitTunneling reads False | A more specific route on that adapter wins over the tunnel default | Find-NetRoute for the exact destination, then look for a /24 or host route on the physical interface |
| Internal name fails, internal IP works | No NRPT rule for that namespace, or a broader rule matches first | Get-DnsClientNrptPolicy and the namespace order |
| A dual-stack site opens directly while IPv4 uses the tunnel | The profile covers only the IPv4 default route | The IPv6 route table on both interfaces |
| Routes look right but one app still goes direct | The app uses its own proxy, or the client keeps a per-app list | The app's proxy settings and the client's application list |
NRPT உடன் பெயர் தீர்வைத் தனியாகச் சரிபார்க்கவும்
உள் IP முகவரிகள் வேலை செய்யும்போது உள் பெயர்கள் தோல்வியடைந்தால் அது வழிமாற்றத்தை அல்ல, தீர்விக் கொள்கையைக் குறிக்கிறது. Windows ஒவ்வொரு பெயர்வெளிக்கும் DNS ஐ பெயர் தீர்வுக் கொள்கை அட்டவணை வழியாகத் தீர்மானிக்கிறது, அது வழித்தட அட்டவணையிலிருந்து சுயாதீனமானது:
Get-DnsClientNrptPolicy -Effective | Select-Object Namespace, NameServers
Get-DnsClientServerAddress -InterfaceIndex $vpn.ifIndexஒரு விதி *.corp.example உடன் பொருந்தினால், அந்தப் பெயர்வெளிக்கான வினவல்கள் சுரங்கப்பாதையின் DNS சேவையகங்களுக்குச் செல்லும், split tunnel பயன்முறையில் அந்தச் சேவையகங்களுக்கான தரவுப் பாதை இயற்பியல் அடாப்டரில் இருந்தாலும். அதுதான் வடிவமைப்பு, அதனால்தான் பொது தளத்தைத் திறக்கும் உலாவி சோதனை உள் பெயர்களைப் பற்றி எதையும் சொல்லாது. அடாப்டர் எதிர்பார்க்கப்பட்ட சேவையகங்களைப் பட்டியலிட்டாலும் தேடல்கள் இன்னும் வேறெங்கோ சென்றால், NRPT விதிகளின் வரிசையை ஒப்பிட்டு மிகக் குறிப்பிட்ட பெயர்வெளி முதலில் பொருந்துகிறதா எனப் பாருங்கள்.
ஓட்டங்களைச் சரிபார்த்து, பின்னர் நீங்கள் உண்மையில் என்ன கேட்டீர்கள் என்பதை முடிவு செய்யுங்கள்
முடிவுகள் இயந்திரங்களுக்கிடையே ஒப்பிடக்கூடியதாக இருக்க இலக்குகளை நிலையான வரிசையில் பாருங்கள்: பொது முகவரி, உள் முகவரி, உள் பெயர் மற்றும் உள்ளூர் அச்சுப்பொறி அல்லது காணொளி அழைப்பு போன்ற ஒரு வேண்டுமென்ற விதிவிலக்கு. ஒவ்வொன்றிற்கும் Find-NetRoute திருப்பித் தரும் இடைமுகத்தையும் மூல முகவரியையும் குறிப்பிடுங்கள். எந்தக் கொள்கை மாற்றத்திற்கும் பிறகு மீண்டும் இணைத்து அதே நான்கு சோதனைகளை மீண்டும் செய்யுங்கள்; மீண்டும் இணைந்த பிறகு வழித்தட அட்டவணை மட்டுமே புதிய சுயவிவரம் நடைமுறைக்கு வந்ததற்கான ஒரே சான்று.
பின்னர் வழிமாற்றத்தை அமலாக்கத்திலிருந்து பிரிக்கவும். கட்டாயச் சுரங்கப்பாதை சுரங்கப்பாதை உயர்ந்திருக்கும் வரை மூடப்பட்ட போக்குவரத்திற்கு சுரங்கப்பாதையை விரும்புகிறது. அது kill switch அல்ல. சுரங்கப்பாதை விழும்போது இயந்திரத்திலிருந்து எதுவும் வெளியேறக்கூடாது என்பது தேவையானால், அது தடுக்கும் வடிவமைப்பிலிருந்து வர வேண்டும்: சுரங்கப்பாதை நிலையுடன் இணைக்கப்பட்ட firewall சுயவிவரம், போக்குவரத்து வடிகட்டிகளுடன் எப்போதும்-இயக்கத்தில் உள்ள சுயவிவரம் அல்லது விற்பனையாளர் கிளையண்டின் சொந்த தோல்வியில்-மூடும் விருப்பம். கட்டாயச் சுரங்கப்பாதை VPN சேவையகத்தின் சொந்த முகவரியையும் சுரங்கப்பாதைக்கு வெளியே அணுகக்கூடியதாக வைக்க வேண்டும், «எல்லாவற்றையும் கட்டாயப்படுத்து» என்ற பெயரில் அதைத் தடுப்பது நீங்கள் அமல்படுத்த முயற்சிக்கும் இணைப்பிலிருந்து உங்களை வெளியே பூட்டிக்கொள்ளும் நம்பகமான வழி.
எதையும் மாற்றுவதற்கு முன் இந்தப் பட்டியலைப் பாருங்கள். தோல்வியடையும் ஒவ்வொரு உருப்படியும் உண்மையான சிக்கல் எங்கே என்பதைக் குறுக்குகிறது.
- சுயவிவரப் பெயரும் எல்லையும் உறுதி செய்யப்பட்டன, இயந்திர அளவிலான சுயவிவரங்களுக்கு
-AllUserConnectionபயன்படுத்தப்பட்டது. SplitTunnelingபடிக்கப்பட்டது, பாதுகாப்பின் சான்றாக அல்ல, உள்ளமைவாகக் கருதப்பட்டது.- சுரங்கப்பாதை அடாப்டரின் வழிகள் IPv4 மற்றும் IPv6 க்கு தனித்தனியாகப் பட்டியலிடப்பட்டன.
- ஒரு பொது, ஒரு உள் மற்றும் ஒரு விதிவிலக்கு இலக்கிற்கு
Find-NetRouteஇயக்கப்பட்டது. - பெயர் தோல்விக்காக வழிகளைக் குறை சொல்வதற்கு முன் NRPT விதிகள் சரிபார்க்கப்பட்டன.
- தடுப்புத் தேவை மீண்டும் படிக்கப்பட்டது: விருப்ப வழிமாற்றம் அமல்படுத்தப்பட்ட தடுப்புக்குச் சமமானது அல்ல.
முழு அல்லது split சுரங்கப்பாதை முடிவு சுயவிவர உரிமையாளருக்கு உரியது, மேலும் Microsoft இன் வழிமாற்றக் குறிப்புகள் ஒரு சுயவிவரம் அதை அமைக்கும்போது Windows செயல்படுத்தும் நடத்தையை விவரிக்கின்றன. Microsoft: கட்டாய மற்றும் split சுரங்கப்பாதை வெளியீட்டைப் படிக்கும்போது நான் திறந்து வைத்திருக்கும் குறிப்பு.