Tenho duas VPNs: a VPN1 conecta automaticamente o pré-login e atua como uma VPN de consumidor, enviando todo o tráfego por meio dela. Os usuários não têm controle sobre isso - ele precisa conectar o pré-login, o que significa que ele é executado pelo sistema e não no perfil do usuário, o que é desejável de qualquer maneira, pois quero forçar todo o tráfego a ser criptografado no gateway VPN1.
Quero que os usuários possam se conectar manualmente ao VPN2, que fornece acesso a uma rede com recursos mais confidenciais. VPN2 é a única maneira de entrar ou sair dessa rede - o firewall bloqueia todo o resto. Quando você se conecta apenas à VPN2, você não tem acesso à Internet.
O problema é que quando o usuário está conectado a ambas as VPNs, seu cliente pode atuar como uma ponte expondo a VPN2 à Internet via VPN1. Achei que tinha uma maneira sólida de evitar isso, enviando a mesma rota estática que a VPN1 usa para informar ao Windows para enviar todo o tráfego pela VPN2, exceto definir a métrica da rota como 1 para que tenha prioridade. Isso empurraria todo o tráfego através da VPN2, e seu firewall bloquearia qualquer coisa externa e, portanto, nenhuma Internet.
Mas parece que o Windows 10 tenta automaticamente a próxima melhor rota estática. Portanto, após algumas tentativas fracassadas de chegar ao destino através do gateway VPN2, ele usará VPN1, apesar da métrica mais alta.
Existe uma maneira de evitar esse failover? Ou alguma documentação sobre isso para que talvez eu possa jogá-lo? Por exemplo, ele tenta 3 gateways antes de desistir, então adiciono 4 rotas estáticas de maior prioridade que vão para um firewall?