Zašto široka VPN ruta kvari nekoliko javnih sajtova

Većina stranica se učita, dvije ili tri isteknu, a pregledač okrivi vezu. Sajtovi koji ne rade imaju nešto zajedničko što radni nemaju: njihove razriješene adrese padaju unutar prefiksa koji je VPN instalirao. Ruta dovoljno široka da pokrije javni raspon zahvatit će saobraćaj koji tunel nikada nije trebao prenositi, a simptom izgleda kao problem sajta, a ne kao odluka o rutiranju.

Razriješite ime koje ne radi, pa pogledajte tabelu rutiranja, a ne pregledač.

Uporedite adresu, ne ime sajta

Potražite adresu koju je klijent zaista pokušao, pa provjerite koja ruta joj odgovara. Odredište unutar 45.61.20.10 pada pod 45.0.0.0/8 ako je taj prefiks prisutan, iako sam sajt nema nikakve veze s tunelom. Upoređivanje adrese koja ne radi s instaliranim prefiksima je zadatak oduzimanja, a ne nagađanje.

Windows može direktno odgovoriti na obje polovine, a pretraga pokazuje koji su interfejs i sljedeći hop pobijedili u odabiru. Razriješite ime dvaput ako sajt vraća više adresa. Zapišite svaku s rutom koja joj je odgovarala. Različite adrese mogu dati različite odgovore, a samo jedna od njih možda je slučaj koji ne radi.

Resolve-DnsName www.example.org
Get-NetRoute -AddressFamily IPv4 | Select-Object DestinationPrefix,InterfaceIndex,NextHop,RouteMetric
Find-NetRoute -RemoteIPAddress 45.61.20.10
Get-VpnConnection | Format-List Name,SplitTunneling,Routes

Čitajte najspecifičniji odgovarajući prefiks, a ne prvi red koji izgleda poznato. Ruta prisutna u tabeli ne dokazuje da je pobijedila u pretrazi; to čini najduže podudaranje. Dva prefiksa mogu odgovarati jednoj adresi, a samo jedan od njih prima paket. Gubitnik ostaje u tabeli i izgleda jednako stvarno na spisku.

Zapišite prefiks, njegov interfejs i razriješenu adresu. Te tri vrijednosti su cijela dijagnoza.

Pronađite ko je instalirao rutu

Rute dolaze s četiri mjesta: iz izvornog VPN profila, upravljačke politike, skripte za vezu ili potpuno drugog klijenta. Brisanje živog unosa može potvrditi njegovu važnost, ali sljedeća veza ga ponovo stvara iz sačuvane konfiguracije, pa izvor treba mijenjati.

Prvo provjerite listu ruta profila, zatim upravljačku politiku, zatim svaku skriptu koja se pokreće pri povezivanju. Taj redoslijed odgovara tome koliko često se svaki od njih pokaže odgovornim. On također drži promjenu na jednom sloju umjesto na tri.

Pažljivo pročitajte izvorno ponašanje zasnovano na klasi

Izvorni Windows profili imaju dokumentirano podešavanje, NativeProfile/DisableClassBasedDefaultRoute, koje kontroliše automatsku rutu izvedenu iz adrese interfejsa. Adresa profila koja počinje s 45 može pod tim ponašanjem proizvesti unos 45.0.0.0/8, i tako jedna javna adresa zahvata cijeli raspon klase A.

Ime svojstva nagovještava pogrešno čitanje: postavljeno na true isključuje izvođenje, a false ga uključuje. Ono također nije isti objekat kao podrazumijevana ruta i ne upravlja klijentima trećih strana koji instaliraju vlastite prefikse.

Ako je izvođenje dokazani uzrok, popravite profil preko njegovog upravljačkog vlasnika i izričito navedite predviđene privatne prefikse. Ako je unos dodala skripta, popravite skriptu. Zamjena jedne neobjašnjene široke rute drugom mijenja simptom bez odgovora na pitanje.

Popravite izvor, pa ponovo provjerite oba puta

Nakon promjene se ponovo povežite i ponovite pretragu za javni sajt koji ne radi i za resurs koji mora koristiti tunel. Prvi bi sada trebao biti razriješen na fizički interfejs, a drugi bi i dalje trebao odabrati VPN. Ne zaustavljajte se na prvom uspjehu; popravka koja ujedno kvari privatni pristup zamijenila je jednu grešku drugom.

Istovremeno pregledajte plan adresa servera. Bazen koji se preklapa s javnim prostorom izaziva ovu vrstu problema iznova i iznova. Raspon koji je operater namjerno odabrao zaslužuje drugu raspravu, a ne automatsko prenumerisanje.

Podizanje MTU-a ili pražnjenje DNS-a neće ispraviti prefiks koji tu adresu i dalje usmjerava u tunel. Prvo testirajte odabir, a zatim put.