Hai VPN Windows cùng lúc: hồ sơ nào giữ tuyến mặc định?

Cắm đường hầm thứ hai vào và đường hầm thứ nhất im lặng, trong khi cả hai ứng dụng khách vẫn báo kết nối khỏe mạnh. Windows chỉ có một tuyến mặc định để trao, và mỗi hồ sơ đòi nó sẽ lấy nó khỏi hồ sơ kia. Triệu chứng trông như VPN bị ngắt, nhưng thực ra đó là cuộc tranh giành định tuyến giữa hai hồ sơ. Hãy quyết định đường hầm nào nên sở hữu tuyến đó và phần còn lại của cấu hình sẽ theo sau.

Chỉ một mục có thể là tuyến mặc định tốt nhất

Bảng định tuyến IPv4 chỉ giữ một tuyến thắng cho các đích không có khớp cụ thể hơn. Một hồ sơ VPN cài tuyến riêng sẽ thay tuyến trước đó ngay khi kết nối, và lưu lượng từng đi vào đường hầm thứ nhất nay đi ra qua đường hầm thứ hai. Đường hầm thứ nhất vẫn hoạt động; thứ biến mất là bất kỳ gói nào lẽ ra dùng nó cho các đích thông thường.

Biểu tượng trạng thái của ứng dụng khách không thể hiện điều đó. Chúng báo rằng một đường hầm đã được thiết lập, chứ không phải những tiền tố nào còn được định tuyến tới đó, nên người dùng thấy hai biểu tượng xanh và một lần hết thời gian trong một ứng dụng. Đọc route print -4 khi gặp sự cố cho nhiều thông tin hơn bất kỳ nhật ký VPN nào.

Phân giải tên là xung đột thứ hai, độc lập, và chỉ sửa bảng định tuyến sẽ không giải quyết được nó.

Ô chọn cài những gì và gỡ bỏ những gì

Tùy chọn nằm trong thuộc tính bộ điều hợp của mỗi hồ sơ VPN, dưới cài đặt IPv4 nâng cao, được diễn đạt là dùng cổng mặc định trên mạng từ xa. Khi bật, mỗi kết nối thêm một tuyến mặc định qua đường hầm và đưa giao diện đó vào hàng đợi cho lưu lượng chung. Khi tắt, Windows giữ tuyến cho mạng con riêng của đường hầm và để phần còn lại của bảng yên.

Chính lúc bỏ chọn ô là chỗ hầu hết mọi người mắc kẹt. Trang từ xa thường có nhiều hơn một tiền tố, và không tiền tố nào nằm trong mạng con của bộ điều hợp, nên máy chủ tệp và địa chỉ quản trị ngừng phản hồi. Ô chọn không làm hỏng đường hầm; nó đã gỡ tuyến rộng từng bao phủ mọi thứ.

Cấu hình hỗn hợp là hợp lý và phổ biến: hồ sơ doanh nghiệp giữ ô chọn như đường hầm đầy đủ, còn hồ sơ phòng thí nghiệm được chia tách để không thể đẩy lùi tuyến mặc định của doanh nghiệp.

Chọn theo những gì mỗi đường hầm phải chở

Ba câu hỏi quyết định cách bố trí. Đường hầm này có phải chở lưu lượng internet thông thường, hay chỉ địa chỉ bên trong trang của chính nó? Hai trang có dùng dải riêng không chồng lấn? Và nếu hồ sơ do người sử dụng lao động quản lý, bạn có được phép thay đổi hành vi định tuyến của nó không?

Nếu một đường hầm phải đầy đủ, nó sở hữu tuyến mặc định và cái kia phải được chia tách. Nếu không cái nào cần lưu lượng internet chung, hãy bỏ chọn ô ở cả hai và để bộ điều hợp vật lý giữ tuyến mặc định. Nếu các dải chồng lấn, hãy dừng lại: 172.22.0.0/16 không thể vừa nghĩa là một máy ở phía doanh nghiệp vừa là một máy khác ở phía phòng thí nghiệm, và không ô chọn nào giải quyết được điều đó.

Ghi lại quyết định bên cạnh tên hồ sơ. Nếu không, VPN thứ ba được thêm vào quý sau sẽ lặp lại cuộc điều tra từ đầu.

Thêm các tiền tố còn thiếu và kiểm tra kết quả

Với mỗi đường hầm chia tách, hãy thêm rõ ràng các dải từ xa, dùng địa chỉ ngang hàng hiển thị trên bộ điều hợp đó thay cho địa chỉ công khai của máy chủ:

> route add 172.22.0.0 mask 255.255.0.0 172.20.4.1
> route print -4
> Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric

Bộ điều hợp PPP dùng địa chỉ ngang hàng của nó làm bước nhảy tiếp theo, còn bộ điều hợp TAP thường dùng cổng hiển thị trên giao diện đó, nên hãy đọc chi tiết bộ điều hợp thay vì sao chép một con số từ hướng dẫn. Chỉ thêm cờ cố định sau khi tuyến đã được chứng minh là đúng, và xóa các mục cố định cũ trước khi thêm mục thay thế. Các ứng dụng khách được quản lý có thể tự cài và bảo vệ tuyến của mình, và khi đó chủ hồ sơ phải thực hiện thay đổi.

DNS cần một lượt riêng. Cả hai đường hầm đều có thể đẩy trình phân giải, và Windows giữ danh sách theo từng giao diện với thứ tự ưu tiên, nên một cái tên thuộc mạng thứ hai có thể bị gửi tới trình phân giải của mạng thứ nhất. Hãy xem mỗi bộ điều hợp thực sự nhận được gì trước khi chọn cách khắc phục:

> Get-DnsClientServerAddress -AddressFamily IPv4
> Resolve-DnsName files.corp.internal -Server 172.20.4.1

Chính sách phân giải tên theo miền thường tốt hơn việc thay thế danh sách trình phân giải toàn cục, vì danh sách đó được mọi ứng dụng trên máy chia sẻ và việc thay đổi nó một cách âm thầm sẽ dịch chuyển những truy vấn không liên quan.

Chấp nhận cấu hình với bốn kiểm tra: một tài nguyên trong mỗi mạng từ xa tiếp cận được bằng địa chỉ, một lần tra tên trong mỗi mạng, tuyến mặc định internet vẫn trỏ tới bộ điều hợp vật lý, và một phiên máy tính để bàn từ xa sống sót khi kết nối thứ hai được dựng lên.