Zašto vaša Windows VPN tablica ruta prikazuje 0.0.0.0/1 i 128.0.0.0/1

Povežite se na Windows VPN i otvorite tablicu ruta — dva unosa odmah upadaju u oči: 0.0.0.0/1 i 128.0.0.0/1. Nisu greška u kucanju i ne zamjenjuju zadanu rutu. Njihovo pojavljivanje zavisi od jedne opcije profila, a par je način na koji se gradi puni tunel, a ne funkcija razdvojenog tunela. Pročitajte opciju, prefiks i interfejs zajedno prije nego što promijenite i jedan red.

Šta instalira opcija zadane mrežne kapije

Opcija profila koja sve šalje kroz tunel radi tako što dodaje ta dva prefiksa. Uklonite opciju i oni nestaju, ostavljajući rutu koja pokriva samo podmrežu dodijeljenu adapteru tunela. Polje za potvrdu kontroliše par; ono ne prepisuje jedinu zadanu rutu. Zato tablica nakon uklanjanja kvačice izgleda kao djelimično prepisivanje, a ne kao brisanje.

0.0.0.0/1 pokriva donju polovinu IPv4 prostora, a 128.0.0.0/1 gornju, pa zajedno pokrivaju svaku unicast adresu. Svaki je specifičniji od zadane 0.0.0.0/0, što znači da podudaranje najdužeg prefiksa šalje običan saobraćaj u tunel, dok fizička zadana ruta ostaje gdje je bila. Zadržavanje te zadane rute nije kozmetika: paketi koji obavijaju šifrovani teret adresirani su na javnu adresu servera i moraju izaći kroz fizički adapter. Zamijenite zadanu rutu umjesto da je dijelite, i transport samog tunela pokušat će ući u tunel, što je petlja, a ne veza.

Zato se doslovna 0.0.0.0/0 koja pokazuje na VPN adapter isplati zaustaviti. Ugrađeni klijent to obično ne piše, pa je ručna ruta ili konfiguracija drugog klijenta promijenila tablicu iza vaših leđa. Nađite je prije nego što budete otklanjali greške nizvodno.

Rastavljanje je jeftinije od čuvanja gejta

Rastavljanje je praktični argument za dva unosa umjesto jednog. Klijent posjeduje tačno dvije rute dok je povezan i briše ih pri odspajanju, ostavljajući ono što fizički adapter drži u tom trenutku. Klijent koji je zamijenio jedinu zadanu rutu morao bi pamtiti prethodni gejt, a nakon promjene DHCP zakupa mogao bi vratiti onaj koji više ne postoji. Dva posjedovana unosa ne nose takvo stanje.

Drugi klijenti dolaze do istog dizajna. OpenVPN profil s redirect-gateway def1 instalira ta dva prefiksa umjesto da briše zadanu rutu, a Windows klijent slijedi obrazac iz istog razloga u rutiranju.

Zato tablica može izgledati kao puni tunel kada ste očekivali razdvajanje. Par je način na koji se gradi puni tunel, a ne dokaz greške s razdvojenim tunelom. Ako je profil postavljen da koristi udaljeni gejt, sve se rutira, šta god jedna lokalna aplikacija još uspije dosegnuti.

Najduži prefiks pobjeđuje prije bilo koje metrike

Dužina prefiksa odlučuje pretragu prije bilo kojeg drugog polja. Metrika samo razbija izjednačenje između ruta s identičnim prefiksom, pa unos /1 pobjeđuje zadanu /0 čak i kada mu je metrika lošija. Vezivanje za interfejs odlučuje šta ostaje kada dvije rute dijele prefiks i Windows mora izabrati koji adapter šalje paket.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Tablica razdvojenog tunela drži fizičku zadanu rutu, dvije poluzadane, rutu za podmrežu tunela i svaki uredski prefiks koji ste dodali. Fizička zadana ruta može stajati na nižoj ili višoj metrici zavisno od klijenta i profila, a dok par /1 postoji ta razlika ništa ne mijenja. Mijenja sve u trenutku kada se par ukloni, tada se pojavljuje zastario gejt ili pogrešan interfejs. Čitajte cijelu tablicu, a ne onaj jedan red koji ste očekivali promijeniti.

Izaberite jednog vlasnika za uredski prefiks

Za razdvojeni tunel imenujte samo prefiks koji mora koristiti VPN i izaberite jedan način da ga posjedujete. Usmjeravanje rute na dodijeljenu adresu tunela radi dok se ta adresa ne promijeni, dok vezivanje za interfejs preživljava adresu, ali se kvari kada se indeks ponovo dodijeli nakon ponovne izgradnje profila. Cmdlet vezan za profil izbjegava oba problema, po cijeni potrebe za profilom.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdlet veže prefiks za imenovani profil, pa se ruta pojavljuje s vezom i odlazi s njom, što upravljani laptop i želi. Trajna ruta nadživljava restartovanja i nadživljava profil koji ju je pokrenuo, tako umirovljeni VPN ostavlja unose godinama. Izaberite jednu metodu po prefiksu i zabilježite izbor, jer trajna ruta plus ruta profila za isti prefiks stvaraju duplikate koje je bolno raspetljavati pri rastavljanju. Šta god izabrali, vlasništvo treba biti vidljivo u tiketu, a ne samo na mašini.

Vlasništvo je pitanje na koje ovaj odjeljak odgovara, a ne sintaksa. Dva vlasnika za jedan prefiks je način neuspjeha koji vrijedi izbjeći.

Provjerite s odredištem, ne s web-stranicom

Testirajte odredište koje mora prijeći tunel, a ne web-stranicu koja prijavljuje izlaznu adresu. Find-NetRoute vraća odabranu rutu i izvornu adresu, pa vidite da li je pobijedio uredski prefiks ili fizička zadana ruta, a zatim otvorite samu dijeljenu lokaciju.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Stranica izlazne adrese slaba je provjera, jer DNS, IPv6 i proxy preglednika mogu taj zahtjev poslati svaki drugim putem. IPv4 i IPv6 imaju i odvojena podešavanja u istom dijalogu, a čišćenje jednog polja ostavlja drugu porodicu netaknutom, pa mašina s dva steka može nositi IPv6 kroz tunel dok IPv4 slijedi rutu razdvajanja. Provjerite obje porodice prije nego što profil nazovete razdvojenim. Ako je ruta ispravna, a usluga i dalje ne radi, preostali sloj je filtriranje, a ne rutiranje.

Firewall kojim upravlja klijent može blokirati uredsku podmrežu uz savršenu tablicu ruta. Ta politika pripada onome koji je gurnuo profil, a ne osobi koja uređuje rute.