VPN 連上卻無法存取公司內網？路由表衝突與手動加入靜態路由解決實戰

VPN 撥號成功但無法訪問公司 LAN，實戰：路由表分析與手動加入靜態路由

作者實測：家用路由器網段 192.168.1.0/24 與公司內網 192.168.1.0/24 完全重疊，導致 Windows 路由表優先走實體介面而非 VPN 介面。解決方法是手動加入更高優先順序（Metric 較小）的靜態路由，強制目標網段走 VPN 閘道。

問題重現與路由表分析

C:\> route print
...（撥號前）...
IPv4 路由表
===========================================================================
介面清單
... 192.168.1.109 ...  <- 家用無線網卡 IP
===========================================================================
作用中路由:
網路目的地      網路遮罩        閘道           介面           計量
0.0.0.0         0.0.0.0         192.168.1.1    192.168.1.109  25   <- 預設閘道
192.168.1.0     255.255.255.0   On-link        192.168.1.109  281  <- 本地網段（衝突！）
...

撥號後出現 VPN 介面（如 172.16.0.10），但因本地 192.168.1.0/24 已存在且 Metric 較低，封包仍走實體網卡。

解決方案：手動加入靜態路由（Metric=1 最高優先）

C:\> route add 192.168.1.0 mask 255.255.255.0 172.16.0.1 metric 1
  OK!

172.16.0.1 為 VPN 介面的閘道 IP（可用 ipconfig 查看 VPN 介面的 IPv4 位址）。
metric 1 使此路由優先於本地介面的 281。

驗證

C:\> tracert 192.168.1.161
1     30 ms    31 ms    31 ms  172.16.0.1      <- 走 VPN 閘道！
2     29 ms    30 ms    30 ms  192.168.1.161
Trace complete.

永久生效（重開機不失效）

加 -p 參數：

route -p add 192.168.1.0 mask 255.255.255.0 172.16.0.1 metric 1

或建立批次檔 vpn_route.bat 放入啟動資料夾 / 工作排程器（登入時執行，最高權限）。

替代方案：改變家用/遠端網段（治本）

• 登入家用路由器，將 LAN IP 改為 192.168.88.1、10.10.10.1、172.16.0.1 等不常用網段。
• 重新連線後，本地路由表不再有 192.168.1.0/24，預設路由自動走 VPN 介面，無需手動加路由。

後續問題：遠端桌面仍無法連線

作者發現：公司電腦預設閘道必須設為 ISA Proxy 伺服器 IP，才能回傳 RDP 封包。解法：
1. 遠端桌面連線前，先用 PsExec / 群組原則 / 手動將目標電腦預設閘道改為 ISA IP。
2. 或在 ISA 上發布 RDP 規則，允許 VPN 子網直連。

自動化腳本範例（PowerShell 以管理員執行）

$vpnGateway = (Get-NetIPConfiguration -InterfaceAlias "*VPN*" | Where-Object {$_.IPv4DefaultGateway}).IPv4DefaultGateway.NextHop
if ($vpnGateway) {
    New-NetRoute -DestinationPrefix "192.168.1.0/24" -InterfaceAlias "*VPN*" -NextHop $vpnGateway -RouteMetric 1
    Write-Host "已加入靜態路由 192.168.1.0/24 -> $vpnGateway (Metric 1)"
} else {
    Write-Warning "找不到 VPN 介面閘道，請確認已撥號成功。"
}

核心概念：路由表由 Metric 決定優先順序，Metric 較小者優先。手動加入 Metric=1 的靜態路由，即可覆蓋本地衝突路由，強制流量走 VPN 隧道。