Dalawang Windows VPN nang sabay: aling profile ang nagtatago ng default na ruta?

Ikonekta ang ikalawang tunnel at tumatahimik ang una, habang parehong kliyente ay nag-uulat pa rin ng malusog na koneksyon. Isang default na ruta lang ang maibibigay ng Windows, at bawat profile na nag-aangkin nito ay kinukuha ito sa isa. Mukhang pagkawala ng VPN ang sintomas, pero ito ay labanan sa routing sa pagitan ng dalawang profile. Magpasya kung aling tunnel ang dapat magmay-ari ng rutang iyon at susunod ang natitirang configuration.

Isang entry lang ang maaaring maging pinakamahusay na default

Ang IPv4 routing table ay may isang panalong ruta para sa mga destinasyong walang mas tiyak na tugma. Ang VPN profile na naglalagay ng sarili nitong ruta ay pumapalit sa nauna sa sandaling kumonekta, at ang trapikong dating pumapasok sa unang tunnel ay lumalabas na ngayon sa pangalawa. Nananatiling aktibo ang unang tunnel; ang nawawala ay anumang packet na gagamit nito para sa pangkalahatang destinasyon.

Hindi ito maipapakita ng mga icon ng status ng kliyente. Sinasabi nila na may tunnel na naitatag, hindi kung aling mga prefix ang papunta pa rin doon, kaya nakikita ng user ang dalawang berdeng icon at isang timeout sa isang application. Ang pagbasa ng route print -4 habang may problema ay mas nagbibigay-kaalaman kaysa anumang VPN log.

Ang resolution ng pangalan ay ikalawa, malayang hidwaan, at hindi ito maaayos ng pagtuwid ng routing table lamang.

Ano ang inilalagay ng checkbox, at ano ang tinatanggal nito

Ang opsyon ay nasa mga katangian ng adapter ng bawat VPN profile sa ilalim ng advanced na IPv4 settings, nakasaad bilang paggamit ng default na gateway sa malayong network. Kapag naka-enable, bawat koneksyon ay nagdaragdag ng default na ruta sa tunnel at inilalagay ang interface na iyon sa pila para sa pangkalahatang trapiko. Kapag naka-disable, pinapanatili ng Windows ang ruta para sa sariling subnet ng tunnel at hinahayaan ang natitirang table.

Sa pag-alis ng checkbox nagkakaproblema ang karamihan. Karaniwang may higit sa isang prefix ang malayong site, at wala sa mga prefix na iyon ang nasa subnet ng adapter, kaya tumitigil sa pagsagot ang mga file server at address ng pamamahala. Hindi sinira ng checkbox ang tunnel; inalis nito ang malawak na rutang sumasakop sa lahat.

Ang magkahalong configuration ay lehitimo at karaniwan: pinapanatili ng corporate profile ang checkbox bilang buong tunnel, habang ang lab profile ay nahahati para hindi nito mapalitan ang corporate default.

Pumili ayon sa dapat dalhin ng bawat tunnel

Tatlong tanong ang nagtatakda ng kaayusan. Kailangan bang magdala ng ordinaryong trapiko sa internet ang tunnel na ito, o mga address lamang sa loob ng sariling site nito? Gumagamit ba ang dalawang site ng magkahiwalay na pribadong saklaw? At kung ang profile ay pinamamahalaan ng isang employer, may pahintulot ka bang baguhin ang pag-uugali nito sa routing?

Kung kailangang maging buo ang isang tunnel, ito ang may-ari ng default at ang isa ay dapat nahahati. Kung wala sa dalawa ang nangangailangan ng pangkalahatang trapiko sa internet, alisin ang checkbox sa dalawa at hayaang panatilihin ng pisikal na adapter ang default. Kung nagsasapawan ang mga saklaw, tumigil: hindi maaaring ibig sabihin ng 172.22.0.0/16 ang isang makina sa panig ng korporasyon at isa pa sa panig ng laboratoryo, at walang checkbox ang makakalutas niyon.

Itala ang desisyon sa tabi ng mga pangalan ng profile. Kung hindi, uulitin ng ikatlong VPN na idaragdag sa susunod na quarter ang imbestigasyon mula sa simula.

Idagdag ang mga kulang na prefix at subukan ang resulta

Para sa bawat nahating tunnel, idagdag nang tahasan ang malalayong saklaw, gamit ang peer address na ipinakita sa adapter na iyon sa halip na ang pampublikong address ng server:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

Gumagamit ang PPP adapter ng peer address nito bilang susunod na hop, habang ang TAP adapter ay karaniwang gumagamit ng gateway na ipinakita sa interface na iyon, kaya basahin ang mga detalye ng adapter sa halip na kopyahin ang numero mula sa gabay. Idagdag ang permanenteng flag pagkatapos lamang mapatunayang tama ang ruta, at burahin ang lumang permanenteng entry bago magdagdag ng kapalit. Maaaring mag-install at magprotekta ng sariling ruta ang mga pinamamahalaang kliyente, at sa ganoong kaso kailangang gawin ng may-ari ng profile ang pagbabago.

Kailangan ng DNS ng hiwalay na pagdaan. Pareho ang tunnel ay maaaring magtulak ng resolver, at may listahan ang Windows sa bawat interface na may pagkakasunod-sunod ng priyoridad, kaya ang pangalan ng ikalawang network ay maaaring mapunta sa resolver ng una. Tingnan kung ano talaga ang natanggap ng bawat adapter bago pumili ng lunas:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Ang patakaran sa resolution ng pangalan kada domain ay karaniwang mas mahusay kaysa sa pagpapalit ng pandaigdigang listahan ng resolver, dahil ang listahang iyon ay hinahati ng bawat application sa makina at ang tahimik na pagbabago nito ay naglilipat ng walang kaugnayang paghahanap.

Tanggapin ang setup na may apat na pagsusuri: isang resource sa bawat malayong network na maabot sa pamamagitan ng address, isang paghahanap ng pangalan sa bawat isa, ang default ng internet ay nakaturo pa rin sa pisikal na adapter, at isang remote desktop session na tumatagal kapag umangat ang ikalawang koneksyon.