Чаму шырокі маршрут VPN ламае некалькі публічных сайтаў

Большасць старонак загружаецца, дзве ці тры чакаюць без адказу, і браўзер вінаваціць злучэнне. Сайты, якія не адкрываюцца, маюць агульную рысу, якой няма ў працоўных: іх выяўленыя адрасы трапляюць у прэфікс, усталяваны VPN. Маршрут, дастаткова шырокі, каб пакрыць публічны дыяпазон, будзе захопліваць трафік, які тунель ніколі не павінен быў перадаваць, а сімптом выглядае як праблема сайта, а не як рашэнне аб маршрутызацыі.

Выявіце імя, якое не адкрываецца, затым глядзіце на табліцу маршрутызацыі, а не на браўзер.

Параўноўвайце адрас, а не назву сайта

Знайдзіце адрас, які кліент фактычна выкарыстаў, затым праверце, які маршрут яму адпавядае. Прызначэнне ўнутры 45.61.20.10 трапляе пад 45.0.0.0/8, калі гэты прэфікс прысутнічае, нават калі сам сайт не мае ніякага дачынення да тунелю. Параўнанне адраса, які не адкрываецца, з усталяванымі прэфіксамі — гэта задача на адніманне, а не здагадка.

Windows можа адказаць на абедзве часткі напрамую, а пошук паказвае, які інтэрфейс і наступны вузел выйгралі выбар. Выявіце імя двойчы, калі сайт вяртае некалькі адрасоў. Запішыце кожны з маршрутам, які яму адпавядаў. Розныя адрасы могуць даваць розныя адказы, і толькі адзін з іх можа быць тым выпадкам, што не адкрываецца.

Resolve-DnsName www.example.org
Get-NetRoute -AddressFamily IPv4 | Select-Object DestinationPrefix,InterfaceIndex,NextHop,RouteMetric
Find-NetRoute -RemoteIPAddress 45.61.20.10
Get-VpnConnection | Format-List Name,SplitTunneling,Routes

Чытайце найбольш канкрэтны адпаведны прэфікс, а не першы радок, які выглядае знаёма. Маршрут, прысутны ў табліцы, не даказвае, што ён выйграў пошук; гэта робіць найдаўжэйшае супадзенне. Два прэфіксы могуць адпавядаць аднаму адрасу, і толькі адзін з іх атрымлівае пакет. Той, што прайграў, застаецца ў табліцы і выглядае гэтак жа сапраўдным у спісе.

Запішыце прэфікс, яго інтэрфейс і выяўлены адрас. Гэтыя тры значэнні — увесь дыягназ.

Знайдзіце таго, хто ўсталяваў маршрут

Маршруты прыходзяць з чатырох месцаў: уласнага профілю VPN, палітыкі кіравання, скрыпта злучэння або зусім іншага кліента. Выдаленне жывога запісу можа пацвердзіць яго дачыненне, але наступнае злучэнне стварае яго наноў з захаванай канфігурацыі, таму змяняць трэба менавіта крыніцу.

Спачатку праверце спіс маршрутаў профілю, затым палітыку кіравання, затым любы скрыпт, які запускаецца пры злучэнні. Гэты парадак адпавядае таму, як часта кожны з іх аказваецца вінаватым. Ён таксама ўтрымлівае змену ў межах аднаго пласта замест трох.

Уважліва прачытайце ўласную паводзіны на аснове класаў

Уласныя профілі Windows маюць дакументаваную наладу NativeProfile/DisableClassBasedDefaultRoute, якая кіруе аўтаматычным маршрутам, выведзеным з адраса інтэрфейсу. Адрас профілю, што пачынаецца з 45, можа пры такіх паводзінах стварыць запіс 45.0.0.0/8, і менавіта так адзін публічны адрас захоплівае цэлы дыяпазон класа A.

Назва ўласцівасці схіляе да няправільнага чытання: значэнне true адключае вывад, а false уключае яго. Гэта таксама не той самы аб'ект, што маршрут па змаўчанні, і яно не кіруе кліентамі трэціх бакоў, якія ўсталёўваюць свае прэфіксы.

Калі вывад даказана з'яўляецца прычынай, выпраўце профіль праз яго ўладальніка кіравання і явна падайце прызначаныя прыватныя прэфіксы. Калі запіс дадаў скрыпт, выпраўце скрыпт. Замена аднаго непатлумачанага шырокага маршруту другім змяняе сімптом, не адказваючы на пытанне.

Выпраўце крыніцу, затым пераверце абодва шляхі

Пасля змены перападключыцеся і паўтарыце пошук для публічнага сайта, які не адкрываўся, і для рэсурсу, які павінен ісці праз тунель. Першы цяпер павінен выявіцца на фізічным інтэрфейсе, а другі павінен па-ранейшаму выбіраць VPN. Не спыняйцеся на першым поспеху; выпраўленне, якое заадно ламае прыватны доступ, абмяняла адну няспраўнасць на другую.

Адначасова перагледзьце план адрасоў сервера. Пул, які перасякаецца з публічнай прасторай, раз за разам выклікае менавіта гэты клас праблем. Дыяпазон, абраны аператарам наўмысна, заслугоўвае іншай размовы, а не аўтаматычнай перанумарацыі.

Павышэнне MTU або ачыстка DNS не выправіць прэфікс, які па-ранейшаму накіроўвае гэты адрас у тунель. Спачатку праверце выбар, затым шлях.