Vì sao VPN Windows của bạn giết máy in nội bộ và cách chặn điều đó

Kết nối VPN và máy in biến mất, thư mục chia sẻ NAS không mở được nữa, và phiên Máy tính từ xa tới máy bên cạnh bạn hết thời gian chờ. Không có gì hỏng. Máy khách đã thêm một tuyến mặc định và giờ sở hữu mọi đích mà laptop có thể gọi tên, kể cả những đích cách ba mét. Đó là toàn bộ cơ chế, và gọi đây là lỗi VPN chính là điều biến một bản sửa một dòng thành một ca hỗ trợ.

Đọc bảng tuyến trước

Trước khi thay đổi bất cứ điều gì, hãy ghi lại bảng IPv4 bằng route print -4 và giữ lại kết quả. Kết nối, ghi lại lần nữa và so sánh các dòng 0.0.0.0: tuyến mặc định đang hoạt động nêu tên một giao diện, và nếu giao diện đó là đường hầm, việc in và duyệt web nội bộ sẽ được gửi tới văn phòng trước.

Số giao diện ở cột thứ hai là thứ mà một tuyến cố định sẽ phải tham chiếu sau này, nên hãy ghi lại khi đường hầm đang bật. Đó cũng là giá trị thay đổi khi bộ điều hợp được tạo lại, vì vậy các tuyến gắn vào nó có thể lặng lẽ sống lâu hơn công dụng của chúng.

Xóa tuyến mặc định, theo ba cách

Trên hồ sơ Windows tích hợp, điều khiển là một hộp kiểm. Mở thuộc tính của kết nối, IPv4, rồi Nâng cao, và bỏ chọn Use default gateway on remote network; ứng dụng Cài đặt mới hơn giấu cùng hộp thoại đó sâu thêm một lớp. Từ dấu nhắc đã nâng quyền, thay đổi tương tự là một cmdlet:

Set-VpnConnection -Name "Corp" -SplitTunneling $true

Một hồ sơ OpenVPN hoạt động khác đi, nên hành vi của nó làm bối rối những người mong đợi một hộp kiểm. Chỉ thị redirect-gateway def1 của nó hoàn toàn không thay thế tuyến mặc định; nó cài hai tuyến nửa dải, 0.0.0.0/1 và 128.0.0.0/1, hai tuyến này cùng thắng tuyến mặc định mà không xóa nó. Vì tuyến mặc định gốc vẫn sống, việc thêm một tiền tố trỏ tới net_gateway chỉ gửi riêng tiền tố đó về bộ định tuyến nội bộ. Chi tiết đó giải thích vì sao bản sửa cho hồ sơ def1 là một tuyến tiền tố chứ không phải một hộp kiểm mà không ai tìm thấy.

Chỉ thêm lại những gì thuộc về công việc

Khi không còn tuyến mặc định, đường hầm không mang gì cả, nên các tiền tố công việc phải được nêu rõ ràng. Cmdlet gắn một tiền tố vào kết nối an toàn hơn một tuyến cố định, vì nó chỉ được cài khi kết nối đó đang bật và không phụ thuộc vào số giao diện:

Add-VpnConnectionRoute -ConnectionName "Corp" -DestinationPrefix 172.20.0.0/16

Cách cũ vẫn hoạt động và vẫn có trong mọi danh sách kiểm tra: route -p add 172.20.0.0 mask 255.255.0.0 172.20.0.1 if 14, với chỉ số giao diện và địa chỉ cổng của chính đường hầm. Nó tồn tại qua các lần khởi động lại, đó là mục đích và cũng là hiểm họa, vì chỉ số có thể thuộc về thứ khác ở lần khởi động sau.

Phần còn lại do các số liệu quyết định. Nếu cả bộ điều hợp vật lý và bộ điều hợp đường hầm đều đòi một tuyến cho cùng tiền tố, số liệu thấp hơn thắng, và nâng số liệu của đường hầm là một điều khiển hợp lệ phía máy khách chứ không phải thủ thuật.

Khi máy chủ quyết định thay bạn

Một máy khách bỏ qua hộp kiểm của bạn thường đang tuân theo một chính sách. Hồ sơ Cisco mang một cài đặt Allow Local LAN Access, và một headend có thể đẩy chính sách tunnel-all ghi đè bất cứ điều gì máy khách muốn; trong triển khai đường hầm bắt buộc không có công tắc nội bộ nào để gạt. Hãy đọc nhật ký máy khách để tìm các tuyến và dòng chính sách được đẩy thay vì kiểm tra lại cùng hộp thoại.

Sau đó xem phân giải tên, đây là một công tắc tách khỏi việc định tuyến. Một đường hầm chia tách vẫn có thể nhận một trình phân giải nội bộ và một hậu tố tìm kiếm, nên thiết bị nội bộ truy cập được bằng địa chỉ và không tìm thấy bằng tên cho tới khi phía DNS cũng được sửa.

Chồng chéo là vấn đề khác

Nếu LAN ở nhà và LAN ở văn phòng dùng chung một tiền tố như 192.168.0.0/24, không tuyến nào phân biệt được chúng. Mỗi gói tin trong dải đó chỉ có một kết quả tra cứu, và cách sửa là đánh số lại một bên hoặc tới văn phòng qua một địa chỉ được dịch từ nhóm. Thêm các tuyến cụ thể hơn chỉ dịch chuyển xem nửa nào của mạng bị hỏng.

Kết thúc bằng một lần xác minh thay vì năm: kết nối, rồi chạy tracert tới một máy chủ nội bộ và một máy chủ công cộng. Chặng đầu tiên phải khác đi, và nếu không, việc chia tách chưa có hiệu lực bất kể máy khách báo gì. Sau đó kết nối lại một lần và lặp lại, vì các tuyến được đẩy quay lại mỗi phiên.