Принтер офлайн під час підключення VPN? Перевірте таблицю маршрутів

Ваш ноутбук підключається до корпоративного VPN, і принтер за два метри перестає відповідати. На принтері нічого не змінилося, і локальна мережа не впала. Змінилася таблиця маршрутів: адаптер тунелю тепер має шлях, що охоплює адресу принтера, тому ці пакети виходять через VPN і прибувають на шлюз, який гадки не має, де ваша пласка мережа. Виконайте чотири перевірки нижче по порядку і зупиніться на першій, яка не пройде.

Крок перший: доведіть, що принтер досі доступний у LAN

Перш ніж торкатися маршрутизації, переконайтеся, що пристрій живий для чогось, що не використовує VPN. Попросіть телефон у тій самій мережі Wi-Fi відкрити вебсторінку принтера або виконайте ping адреси з іншої машини в пласкій мережі. Якщо принтер не відповідає й там, VPN — випадковість, а провина лежить на принтері, його Wi-Fi-з'єднанні чи ізоляції клієнтів на точці доступу.

Якщо він відповідає всюди, крім цього ноутбука, у вас проблема з маршрутизацією або розв'язанням імен, яка живе на ноутбуці, і наступний крок скаже, яка з двох.

Крок другий: знайдіть маршрут, який Windows справді вибирає

Не читайте таблицю згори вниз і не вгадуйте. Запитайте Windows, який запис він вибирає для точної адреси, яка вас цікавить, і водночас отримайте індекс інтерфейсу.

Find-NetRoute -RemoteIPAddress 192.168.1.50
route print -4
tracert -d 192.168.1.50

Find-NetRoute друкує переможний маршрут і його інтерфейс, і це два факти, від яких залежить усе інше. route print -4 показує навколишні записи, включно з двома половинними маршрутами за замовчуванням, які встановлюють клієнти повного тунелю: 0.0.0.0/1 і 128.0.0.0/1, що разом покривають весь простір IPv4 і ніколи не замінюють 0.0.0.0/0. /1 довший за /0, але ваш 192.168.1.0/24 ще довший, тому відсутній маршрут у LAN важливіший за саму заяву тунелю.

Відповідь визначають два правила. Найдовший збіжний префікс перемагає першим, а серед записів з однаковим префіксом перемагає менша загальна метрика, де підсумок поєднує метрику маршруту й метрику інтерфейсу. Якщо вибраний інтерфейс — тунель, продовжуйте. Якщо це фізичний адаптер, а трафік усе одно не йде, зупиніться тут: ваша проблема — розв'язання імен або власний список доступу принтера, а не маршрут VPN.

Крок третій: додайте найвужчий маршрут, який називає шлюз та інтерфейс

Виправлення — один запис, що скеровує адресу принтера на локальний маршрутизатор на локальному адаптері. Виконайте його в командному рядку з підвищеними правами й підставте значення, які щойно прочитали.

route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 if 12 -p

Значення if — це індекс інтерфейсу фізичного адаптера. Його пропуск — найчастіша причина, чому команда виглядає успішною і нічого не змінює, бо коли два адаптери можуть досягти того самого наступного переходу, Windows вільний вибрати той, який вам не потрібен. Прапорець -p робить запис постійним, тож він переживає перезавантаження, а не помирає разом із сеансом.

Віддавайте перевагу маршруту до хоста для окремого пристрою перед маршрутом для всієї мережі 192.168.1.0/24. Маршрут до підмережі ширший, ніж потрібно завданню, і він конфліктує тієї миті, коли корпоративна сторона теж використовує цей префікс: один префікс тоді має двох власників, і те, який запис переможе, вирішує, до якої мережі ви справді можете дістатися.

У зворотному напрямку: якщо ви видали параметр шлюзу за замовчуванням на підключенні VPN, щоб захистити LAN, віддалені приватні префікси теж перестають розв'язуватися. Додайте для них маршрути через інтерфейс VPN так само, інакше тунель стане ланкою, яка нічого не несе.

Крок четвертий: зробіть так, щоб виняток пережив наступне підключення

Багато корпоративних клієнтів під час кожного підключення заново встановлюють увесь набір маршрутів і при цьому перелічують метрики інтерфейсів, тому маршрут, який працював учора, сьогодні може бути перекритий. Після повторного підключення повторіть Find-NetRoute для принтера і перевірте, що інтерфейс досі відповідає фізичному адаптеру. Якщо запис зник, щось його видаляє; постійний маршрут не захищає вас від агента, який вимітає таблицю. Планувальники, які знову додають маршрут після підключення VPN, — звичайний обхідний шлях, і він же ламається, коли індекс адаптера змінюється після докстанції або оновлення драйвера.

Стежте за IPv6 окремо. Клієнт, який заявляє лише IPv4 за замовчуванням, може залишити маршрут IPv6 за замовчуванням на фізичному адаптері, тому принтер, доступний через IPv6, продовжує працювати, поки IPv4 не проходить, або навпаки. Перевірте за допомогою ping -4 і ping -6, перш ніж вирішити, що таблиця маршрутів невинна.

Чого вам коштує локальний короткий шлях

Будь-який маршрут в обхід тунелю — це діра в обіцянці тунелю. Трафік до цієї адреси більше не проходить через корпоративний шлюз, а отже, без перевірки, без журналювання й без застосування політик до нього. На керованому пристрої це може бути проблемою відповідності, а не уподобанням, тож запитайте, чи існує офіційний виняток для розділеного тунелю, перш ніж додавати свій вручну. Тримайте свій настільки вузьким, наскільки вимагає завдання, і настільки коротким, наскільки дозволяє ситуація.

Якщо після зміни принтер відповідає, повторіть чотири перевірки після наступного повторного підключення, а не вважайте, що виправлення втрималося. Якщо він не відповідає, зафіксуйте вивід Find-NetRoute до і після підключення; різниця скаже вам, чи клієнт видалив запис, чи лише переранжував його.