VPN ของ Windows ดูดทราฟฟิกทั้งหมดของคุณอยู่หรือไม่? ลบเส้นทางเริ่มต้นของมันออก

คุณเชื่อมต่อกับ VPN ของออฟฟิศ แล้วทุกหน้าในเบราว์เซอร์เริ่มวิ่งผ่านเครือข่ายนั้น เซิร์ฟเวอร์ไฟล์เร็วมาก แต่ทุกอย่างอื่นช้าหรือถูกกรองหรือหายไป ไคลเอนต์ไม่ได้ทำงานผิด ปัญหาคือโปรไฟล์ขออุโมงค์แบบเต็ม สวิตช์ที่หยุดเรื่องนี้คือช่องทำเครื่องหมายช่องเดียวในกล่องโต้ตอบที่แอปการตั้งค่าสมัยใหม่ไม่แสดง และเกตเวย์ยังมีสิทธิ์พูดทุกครั้งที่เชื่อมต่อ บทความนี้อธิบายตามลำดับที่หน้าจอ Windows แสดงจริง แล้วปิดท้ายด้วยการตรวจสอบที่ยังล้มเหลวแม้ตารางเส้นทางจะดูถูกต้อง

เริ่มที่คุณสมบัติของอะแดปเตอร์ ไม่ใช่ที่การตั้งค่า

แอปการตั้งค่าแสดงโปรไฟล์ไว้ใต้เครือข่ายและอินเทอร์เน็ต แล้วจึงเป็น VPN แต่มีเฉพาะตัวเลือกทั่วไป การตัดสินใจเรื่องเกตเวย์เริ่มต้นอยู่ที่อะแดปเตอร์ เปิดรายการอะแดปเตอร์แบบคลาสสิกด้วย Win+R และ ncpa.cpl คลิกขวาที่การเชื่อมต่อ VPN เลือกคุณสมบัติ เลือกโปรโตคอลอินเทอร์เน็ตเวอร์ชัน 4 เลือกคุณสมบัติอีกครั้ง แล้วจึงเลือกขั้นสูง ยกเลิกเครื่องหมายที่ ใช้เกตเวย์เริ่มต้นบนเครือข่ายระยะไกล แล้วยืนยันออกจากกล่องโต้ตอบทั้งสาม

เชื่อมต่อใหม่ก่อนทดสอบ เพราะช่องทำเครื่องหมายถูกใช้ตอนสร้างอุโมงค์ และเซสชันที่เปิดอยู่จะเก็บตารางที่สร้างไว้แล้ว ถ้าอะแดปเตอร์หายไปขณะไคลเอนต์ตัดการเชื่อมต่อ ให้เชื่อมต่อหนึ่งครั้งแล้วเปิดหน้าต่างใหม่ ไคลเอนต์ของผู้จำหน่ายที่ติดตั้งอะแดปเตอร์ TAP หรือ Wintun โดยไม่มีหน้าคุณสมบัติ IPv4 ไม่มีกล่องโต้ตอบนี้เลย สำหรับพวกนั้นการตัดสินใจเดียวกันคือตัวเลือกอุโมงค์แยกในตั้งค่าของไคลเอนต์เอง และช่องทำเครื่องหมายของอะแดปเตอร์คือที่ผิดในการค้นหา

การเปลี่ยนแปลงเดียวกันจาก PowerShell

สำหรับโปรไฟล์ที่สร้างในที่เก็บ VPN ของ Windows การตั้งค่านี้เขียนเป็นสคริปต์ได้ ซึ่งเป็นสิ่งที่คุณต้องการถ้าเครื่องถูกติดตั้งใหม่บ่อย:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

คำสั่ง cmdlet นั้นเข้าถึงได้เฉพาะโปรไฟล์ในที่เก็บนั้น การเชื่อมต่อที่เพิ่มโดยไคลเอนต์ของบุคคลที่สามจะไม่ปรากฏ และคำสั่งล้มเหลวด้วยข้อผิดพลาดชื่อที่อ่านเหมือนพิมพ์ผิด สังเกตด้วยว่าสวิตช์ไม่ได้ทำอะไรบ้าง มันหยุดไคลเอนต์ไม่ให้ติดตั้งเส้นทางเริ่มต้น แต่ไม่ได้ลบเส้นทางที่เกตเวย์ส่งมาตอนเชื่อมต่อ ดังนั้นส่วนถัดไปยังจำเป็นในหลายเครือข่าย

เมื่อเกตเวย์ส่งเส้นทางเริ่มต้นกลับมา

อ่านตารางก่อน รายการเริ่มต้นสองรายการที่มีเมตริกต่างกันหมายความว่าการเปลี่ยนโปรไฟล์ได้ผล และเส้นทางที่ถูกส่งมาก็ยังมาแทนที่อยู่ดี:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

ลบเส้นทางเริ่มต้นที่เป็นของอุโมงค์และเก็บเส้นทางกายภาพไว้ ใช้อินเด็กซ์อินเทอร์เฟซจากคำสั่งที่สาม ไม่ใช่ชื่อแทนของอะแดปเตอร์ เพราะสคริปต์ที่ส่งชื่อแทนจะพังทันทีที่ชื่อที่แสดงเปลี่ยน:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

การลบนั้นพาออฟฟิศไปด้วย ดังนั้นเพิ่มคำนำหน้าองค์กรกลับผ่านเกตเวย์ของอุโมงค์ นี่คือบรรทัดที่คนมองข้าม และเป็นเหตุผลว่าทำไม «VPN หยุดทำงาน» จึงตามมาหลังการเปลี่ยนอุโมงค์แยกที่สำเร็จ:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

ไม่มีสิ่งใดในนี้อยู่รอดหลังเชื่อมต่อใหม่ ซึ่งเป็นพฤติกรรมที่ซื่อตรงไม่ใช่บั๊ก อะแดปเตอร์ถูกสร้างใหม่และไคลเอนต์ใช้สิ่งที่โปรไฟล์กับเกตเวย์ตกลงกันอีกครั้ง ถ้าเส้นทางเริ่มต้นกลับมาทุกครั้ง แสดงว่าเกตเวย์ถูกตั้งให้ปฏิเสธอุโมงค์แยกและจะส่งมันต่อไปหรือตัดเซสชัน นั่นคือโยบายของผู้ให้บริการเครือข่าย และคำขอควรไปที่นั่น ไม่ใช่สคริปต์ในเครื่องที่ต่อสู้กับมันครั้งละหนึ่งการเชื่อมต่อ

ตรวจสอบ DNS, IPv6 และเมตริกอีกครั้งหลังเชื่อมต่อใหม่หนึ่งครั้ง

การลบเส้นทางเริ่มต้น IPv4 ไม่ได้พิสูจน์อะไรเกี่ยวกับอีกตระกูลหนึ่งหรือการแปลงชื่อ อุโมงค์สามารถบรรทุก IPv6 ขณะที่ค่าเริ่มต้น IPv4 ยังอยู่ภายในเครื่อง และรายการตัวแปลงชื่อที่ถูกส่งมาอาจทำให้ชื่อภายในยังใช้ได้ขณะที่คำค้นที่ใช้มันเดินอีกเส้นทาง ตรวจสอบทั้งสามก่อนบอกว่าเสร็จ:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

ถ้าสถานะกลับมาทุกครั้งที่เชื่อมต่อ ให้ย้ายคำสั่งไปเป็นการกระทำต่อการเชื่อมต่อแทนการแก้ตารางด้วยมือ เช่น งานที่ตั้งเวลาไว้ซึ่งทำงานเมื่อเกิดการเชื่อมต่อ หรือการตั้งค่าอุโมงค์แยกของไคลเอนต์เองถ้ามี เก็บอินเด็กซ์อินเทอร์เฟซไว้ในตัวแปรและค้นหาตอนรัน เพราะมันเปลี่ยนได้เมื่อเพิ่มหรือถอดอะแดปเตอร์

ตัดสินใจว่าคุณแลกอะไรไป

ทราฟฟิกอินเทอร์เน็ตภายในเครื่องไม่ถูกตรวจหรือกรองโดยออฟฟิศอีกต่อไป และทุกอย่างที่เผยแพร่ผ่านอุโมงค์เท่านั้นตอนนี้ต้องมีเส้นทางของตัวเอง บางองค์กรถือว่าอุโมงค์แยกเป็นการละเมิดนโยบาย ดังนั้นยืนยันเรื่องนี้ก่อนเปลี่ยนอุปกรณ์ที่ถูกจัดการ ค่าเริ่มต้นที่ถูกส่งมาบางครั้งคือกลไกบังคับใช้ไม่ใช่อุบัติเหตุ เอกสาร Set-VpnConnection ระบุพารามิเตอร์อุโมงค์แยกและประเภทโปรไฟล์ที่ใช้

จากนั้นตรวจสอบตามลำดับคงที่ ใครเป็นเจ้าของเส้นทางเริ่มต้น การท่องเว็บปกติ โฮสต์องค์กรหนึ่งรายการตามที่อยู่ ชื่อภายในหนึ่งชื่อ และทั้งสี่อย่างเดิมหลังเชื่อมต่อใหม่หนึ่งครั้ง ถ้าการท่องเว็บได้แต่โฮสต์องค์กรล้มเหลว แสดงว่าเส้นทางคำนำหน้าหายไป ไม่ใช่ค่าเริ่มต้นที่คุณลบ และแก้ไขได้ถูกกว่าการสร้างโปรไฟล์ใหม่มาก