Waarom jou Windows-VPN-roetetabel 0.0.0.0/1 en 128.0.0.0/1 wys

Maak aan 'n Windows-VPN en maak die roetetabel oop, en twee inskrywings val op: 0.0.0.0/1 en 128.0.0.0/1. Hulle is nie 'n tikfout nie en hulle vervang nie die verstekroete nie. Of hulle verskyn, hang van een profielopsie af, en die paar is hoe 'n volle tonnel gebou word eerder as 'n splitsingstonnel-funksie. Lees die opsie, die voorvoegsel en die koppelvlak saam voordat jy 'n enkele reël verander.

Wat die verstekgateway-opsie installeer

Die profielopsie wat alles deur die tonnel stuur, werk deur daardie twee voorvoegsels by te voeg. Skakel die opsie af en hulle verdwyn, wat 'n roete laat wat net die subnet dek wat aan die tonneladapter gegee is. Die merkblokkie beheer die paar; dit herskryf nie die enkele verstekroete nie. Daarom lyk die tabel ná aftik soos 'n gedeeltelike herskrywing eerder as 'n uitwissing.

0.0.0.0/1 dek die onderste helfte van die IPv4-ruimte en 128.0.0.0/1 dek die boonste helfte, so saam dek hulle elke eenkunsadres. Elkeen is meer spesifiek as 'n 0.0.0.0/0-verstek, wat beteken dat die passing van die langste voorvoegsel gewone verkeer in die tonnel instuur terwyl die fisiese verstekroete bly waar dit was. Om daardie verstek te behou, is nie kosmeties nie: die pakkette wat die versleutelde vrag omhul, is aan die bediener se openbare adres geadresseer en moet deur die fisiese adapter uitgaan. Vervang die verstek in plaas daarvan om dit te split, en die tonnel se eie vervoer probeer die tonnel binnegaan, wat 'n lus eerder as 'n verbinding is.

'n Letterlike 0.0.0.0/0 wat na die VPN-adapter wys, is dus die moeite werd om voor te stop. Die native kliënt skryf dit gewoonlik nie, so 'n handmatige roete of 'n ander kliënt se konfigurasie het die tabel agter jou rug verander. Vind dit voordat jy enigiets verder stroomaf ontfout.

Afbreek is goedkoper as om 'n gateway te bewaar

Afbreek is die praktiese argument vir twee inskrywings eerder as een. Die kliënt besit presies twee roetes terwyl dit verbind is en verwyder hulle by ontkoppeling, wat laat wat die fisiese adapter op daardie oomblik hou. 'n Kliënt wat die enkele verstek vervang het, sou die vorige gateway moes onthou, en ná 'n DHCP-huurkontrakverandering kon dit een herstel wat nie meer bestaan nie. Twee besitte inskrywings dra geen sulke toestand nie.

Ander kliënte bereik dieselfde ontwerp. 'n OpenVPN-profiel met redirect-gateway def1 installeer daardie twee voorvoegsels in plaas daarvan om die verstek te skrap, en die Windows-kliënt volg die patroon om dieselfde roeterede.

Dit is ook waarom 'n tabel soos 'n volle tonnel kan lyk wanneer jy 'n splitsing verwag het. Die paar is hoe die volle tonnel gebou word, nie bewys van 'n splitsingstonnel-fout nie. As die profiel op die afgeleë gateway gestel is, word alles geroute, wat een plaaslike toepassing ook al bereik.

Langste voorvoegsel wen voor enige metriek

Voorvoegsellengte besluit die opsoek voor enige ander veld. Metriek breek net gelykop tussen roetes met 'n identiese voorvoegsel, so 'n /1-inskrywing klop 'n /0-verstek selfs wanneer sy metriek slegter is. Koppelvlakbinding besluit wat oorbly wanneer twee roetes 'n voorvoegsel deel en Windows moet kies watter adapter die pakket stuur.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

'n Splitsingstonnel-tabel hou die fisiese verstek, die twee halfverstekke, die roete vir die tonnel-subnet en enige kantoorvoorvoegsel wat jy bygevoeg het. Die fisiese verstek kan op 'n laer of hoër metriek sit na gelang van die kliënt en die profiel, en terwyl die /1-paar bestaan, verander daardie verskil niks. Dit verander alles die oomblik wanneer die paar verwyder word, dis wanneer 'n verouderde gateway of 'n verkeerde koppelvlak opduik. Lees die hele tabel eerder as die een reël wat jy verwag het om te verander.

Kies een eienaar vir die kantoorvoorvoegsel

Vir 'n splitsingstonnel noem net die voorvoegsel wat die VPN moet gebruik, en kies een manier om dit te besit. Om die roete na die toegewysde tonneladres te wys, werk totdat daardie adres verander, terwyl binding aan die koppelvlak die adres oorleef maar breek wanneer die indeks hertoegewys word nadat die profiel herbou is. Die profielgebonde cmdlet vermy albei probleme, teen die koste dat die profiel nodig is.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Die cmdlet bind die voorvoegsel aan die genoemde profiel, so die roete verskyn met die verbinding en verdwyn daarmee, wat 'n bestuurde skootrekenaar wil hê. 'n Volhardende roete oorleef herlaai en oorleef die profiel wat dit gemotiveer het, en dis hoe 'n afgetrede VPN jare lank inskrywings agterlaat. Kies een metode per voorvoegsel en noteer die keuse, want 'n volhardende roete plus 'n profielroete vir dieselfde voorvoegsel lewer duplikate wat tydens afbreek pynlik is om te ontrafel. Watter een jy ook kies, die eienaarskap moet in die kaartjie sigbaar wees en nie net op die masjien nie.

Eienaarskap is die vraag wat hierdie afdeling beantwoord, nie sintaks nie. Twee eienaars vir een voorvoegsel is die foutmodus wat die moeite werd is om te vermy.

Verifieer met 'n bestemming, nie 'n webwerf nie

Toets die bestemming wat die tonnel moet kruis, nie 'n webwerf wat 'n uitgangsadres rapporteer nie. Find-NetRoute gee die gekose roete en die bronadres terug, sodat jy kan sien of die kantoorvoorvoegsel of die fisiese verstek gewen het, en dan maak jy die deel self oop.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

'n Uitgangsadres-webwerf is 'n swak kontrole, want DNS, IPv6 en 'n blaaierproxy kan elk daardie versoek op 'n ander pad stuur. IPv4 en IPv6 het ook aparte instellings in dieselfde dialoog, en om een blokkie skoon te maak laat die ander familie onaangeraak, so 'n masjien met twee stapels kan IPv6 deur die tonnel dra terwyl IPv4 die splitsingsroete volg. Kontroleer albei families voordat jy die profiel as gesplit beskou. As die roete reg is en die diens steeds faal, is die oorblywende laag filtering eerder as roetering.

'n Kliëntbestuurde firewall kan die kantoor-subnet blokkeer met 'n perfekte roetetabel in plek. Daardie beleid behoort aan wie die profiel gestoot het, nie aan die persoon wat roetes wysig nie.