Защо широк маршрут през VPN чупи няколко публични сайта

Повечето страници се зареждат, две или три изтичат по време, а браузърът обвинява връзката. Сайтовете, които се провалят, имат нещо общо, което работещите нямат: получените им адреси попадат в префикс, инсталиран от VPN. Маршрут, достатъчно широк да покрие публичен диапазон, ще прихване трафик, който тунелът никога не е бил предназначен да пренася, а симптомът изглежда като проблем на сайта, а не като маршрутно решение.

Извлечете името, което се проваля, и после гледайте таблицата за маршрутизация, а не браузъра.

Сравнявайте адреса, не името на сайта

Потърсете адреса, който клиентът действително е опитал, и после проверете кой маршрут му съответства. Дестинация в 45.61.20.10 попада под 45.0.0.0/8, ако този префикс присъства, дори самият сайт да няма нищо общо с тунела. Сравняването на проблемния адрес с инсталираните префикси е задача по изваждане, а не догадка.

Windows може да отговори директно и на двете половини, а справката показва кой интерфейс и следващ хоп са спечелили избора. Извлечете името два пъти, ако сайтът връща няколко адреса. Запишете всеки от тях с маршрута, който му е съответствал. Различните адреси могат да дадат различни отговори и само един от тях може да е проблемният случай.

Resolve-DnsName www.example.org
Get-NetRoute -AddressFamily IPv4 | Select-Object DestinationPrefix,InterfaceIndex,NextHop,RouteMetric
Find-NetRoute -RemoteIPAddress 45.61.20.10
Get-VpnConnection | Format-List Name,SplitTunneling,Routes

Четете най-конкретния съответстващ префикс, а не първия ред, който изглежда познат. Присъстващ в таблицата маршрут не доказва, че е спечелил справката; това прави най-дългото съвпадение. Два префикса могат да съвпаднат с един адрес и само един от тях получава пакета. Губещият остава в таблицата и изглежда също толкова истински в списъка.

Запишете префикса, неговия интерфейс и получения адрес. Тези три стойности са цялата диагноза.

Открийте кой е инсталирал маршрута

Маршрутите идват от четири места: собствения профил на VPN, политика за управление, скрипт за връзка или напълно друг клиент. Изтриването на живия запис може да потвърди значението му, но следващата връзка го пресъздава от запазената конфигурация, затова източникът е това, което трябва да се промени.

Проверете първо списъка с маршрути на профила, после политиката за управление, после всеки скрипт, който се изпълнява при свързване. Този ред съответства на това колко често всеки от тях се оказва отговорен. Той също задържа промяната в един слой вместо в три.

Прочетете внимателно вграденото поведение на база класове

Собствените профили на Windows имат документирана настройка NativeProfile/DisableClassBasedDefaultRoute, която управлява автоматичен маршрут, изведен от адреса на интерфейса. Адрес на профил, започващ с 45, може при това поведение да създаде запис 45.0.0.0/8 и така един публичен адрес прихваща цял диапазон от клас A.

Името на свойството подканя към грешен прочит: задаването на true изключва извеждането, а false го включва. То също не е същият обект като маршрут по подразбиране и не управлява клиенти на трети страни, които инсталират свои префикси.

Ако извеждането е доказаната причина, поправете профила чрез неговия собственик за управление и предоставете предвидените частни префикси изрично. Ако записът е добавен от скрипт, поправете скрипта. Замяната на един необяснен широк маршрут с друг променя симптома, без да отговаря на въпроса.

Поправете източника, после проверете отново двата пътя

След промяната се свържете отново и повторете справката за проблемен публичен сайт и за ресурс, който трябва да минава през тунела. Първият вече трябва да се разрешава към физическия интерфейс, а вторият трябва да избира VPN. Не спирайте при първия успех; поправка, която също чупи частния достъп, е разменила една неизправност за друга.

Прегледайте едновременно и адресния план на сървъра. Пул, който се застъпва с публичното пространство, причинява този клас проблеми многократно. Диапазон, избран от оператора нарочно, заслужава друг разговор, а не автоматично преномериране.

Увеличаването на MTU или изчистването на DNS няма да коригира префикс, който все още насочва този адрес в тунела. Първо проверете избора, после пътя.