VPN Windows chiếm toàn bộ lưu lượng? Hãy xoá tuyến mặc định của nó

Bạn kết nối với VPN của văn phòng và mọi trang trên trình duyệt bắt đầu đi qua mạng đó: máy chủ tệp nhanh, còn mọi thứ khác chậm, bị lọc hoặc biến mất. Máy khách không hành xử sai; hồ sơ đã yêu cầu một đường hầm đầy đủ. Công tắc chặn điều đó là một hộp kiểm trong hộp thoại mà ứng dụng Cài đặt hiện đại không hiển thị, và cổng mặc định lại có tiếng nói ở mỗi lần kết nối. Hướng dẫn này đi theo thứ tự mà giao diện Windows thực sự trình bày, rồi đề cập những kiểm tra vẫn thất bại sau khi bảng tuyến trông đã đúng.

Bắt đầu ở thuộc tính bộ điều hợp, không phải ở Cài đặt

Ứng dụng Cài đặt liệt kê hồ sơ dưới Mạng và Internet, rồi VPN, nhưng chỉ hiển thị các tuỳ chọn chung. Quyết định về cổng mặc định nằm trên bộ điều hợp. Mở danh sách bộ điều hợp cổ điển bằng Win+R và ncpa.cpl, nhấp chuột phải vào kết nối VPN, chọn Thuộc tính, chọn Giao thức Internet phiên bản 4, chọn Thuộc tính lần nữa rồi Nâng cao. Bỏ chọn Dùng cổng mặc định trên mạng từ xa và xác nhận thoát khỏi cả ba hộp thoại.

Kết nối lại trước khi kiểm tra, vì hộp kiểm được áp dụng khi đường hầm được thiết lập và phiên hiện có giữ bảng mà nó đã dựng. Nếu bộ điều hợp biến mất khi máy khách ngắt kết nối, hãy kết nối một lần rồi mở lại cửa sổ. Máy khách của nhà cung cấp cài bộ điều hợp TAP hoặc Wintun mà không có trang thuộc tính IPv4 thì hoàn toàn không có hộp thoại này; với những trường hợp đó, quyết định tương tự là tuỳ chọn đường hầm chia tách trong cài đặt của chính máy khách, và hộp kiểm của bộ điều hợp là nơi sai để tìm.

Thay đổi tương tự từ PowerShell

Với hồ sơ được tạo trong kho VPN của Windows, thiết lập này có thể viết bằng script, đúng là điều bạn muốn nếu máy thường được cài lại:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Lệnh cmdlet đó chỉ với tới các hồ sơ trong kho đó. Kết nối do máy khách bên thứ ba thêm vào sẽ không xuất hiện, và lệnh thất bại với lỗi tên đọc như lỗi gõ. Cũng để ý điều công tắc không làm: nó ngăn máy khách cài một tuyến mặc định, nhưng không xoá các tuyến mà cổng đẩy xuống lúc kết nối, nên phần tiếp theo vẫn cần trên nhiều mạng.

Khi cổng đẩy tuyến mặc định trở lại

Đọc bảng trước. Hai mục mặc định với mét khác nhau nghĩa là thay đổi hồ sơ đã có hiệu lực và tuyến được đẩy xuống vẫn thay thế nó:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Xoá tuyến mặc định thuộc về đường hầm và giữ tuyến vật lý. Dùng chỉ mục giao diện từ lệnh thứ ba, không dùng bí danh bộ điều hợp, vì các script truyền bí danh sẽ hỏng ngay khi tên hiển thị thay đổi:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

Việc xoá mang theo cả văn phòng, nên thêm lại các tiền tố công ty qua cổng của đường hầm. Đây là dòng người ta bỏ qua, và đó là lý do «VPN ngừng hoạt động» xuất hiện sau một thay đổi đường hầm chia tách thành công:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Không điều nào trong số này sống sót qua lần kết nối lại, đó là hành vi trung thực chứ không phải lỗi: bộ điều hợp được dựng lại và máy khách áp dụng lại điều mà hồ sơ và cổng đã thoả thuận. Nếu tuyến mặc định quay lại mỗi lần, cổng được cấu hình để từ chối đường hầm chia tách và sẽ tiếp tục đẩy nó, hoặc cắt phiên. Đó là chính sách của nhà vận hành mạng, và yêu cầu thuộc về nơi đó chứ không phải một script cục bộ chống lại nó mỗi lần kết nối.

Kiểm tra lại DNS, IPv6 và các mét sau một lần kết nối lại

Xoá một tuyến mặc định IPv4 không chứng minh gì về họ còn lại hay về phân giải tên. Đường hầm có thể mang IPv6 trong khi tuyến mặc định IPv4 vẫn cục bộ, và danh sách bộ phân giải được đẩy xuống có thể giữ tên nội bộ hoạt động trong khi các truy vấn dùng nó đi theo đường khác. Kiểm tra cả ba trước khi gọi là xong:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

Nếu trạng thái trở lại ở mỗi lần kết nối, hãy chuyển các lệnh sang hành động mỗi lần kết nối thay vì sửa bảng bằng tay: một tác vụ theo lịch được kích hoạt bởi sự kiện kết nối, hoặc thiết lập đường hầm chia tách của chính máy khách nếu có. Giữ chỉ mục giao diện trong một biến và tra cứu lúc chạy, vì nó có thể thay đổi khi thêm hoặc bớt bộ điều hợp.

Quyết định xem bạn đã từ bỏ điều gì

Lưu lượng Internet cục bộ không còn bị văn phòng kiểm tra hay lọc nữa, và mọi thứ chỉ được công bố qua đường hầm giờ cần tuyến riêng. Một số tổ chức coi đường hầm chia tách là vi phạm chính sách, nên hãy xác nhận điều đó trước khi thay đổi thiết bị được quản lý; tuyến mặc định bị đẩy xuống đôi khi là cơ chế cưỡng chế chứ không phải sự cố. Tài liệu Set-VpnConnection liệt kê tham số đường hầm chia tách và các loại hồ sơ mà nó áp dụng.

Sau đó xác minh theo thứ tự cố định: ai sở hữu tuyến mặc định, duyệt web thông thường, một máy chủ công ty theo địa chỉ, một tên nội bộ, và bốn mục đó sau một lần kết nối lại. Nếu duyệt web chạy mà máy chủ công ty thất bại, cái thiếu là tuyến tiền tố chứ không phải tuyến mặc định bạn đã xoá, và sửa điều đó rẻ hơn nhiều so với dựng lại hồ sơ.