Per què una ruta VPN àmplia trenca alguns llocs públics

La majoria de pàgines es carreguen, dues o tres expiren, i el navegador culpa la connexió. Els llocs que fallen tenen una cosa en comú que els que funcionen no tenen: les seves adreces resoltes cauen dins d'un prefix que va instal·lar la VPN. Una ruta prou àmplia per cobrir un rang públic capturarà trànsit que el túnel mai no havia de portar, i el símptoma sembla un problema del lloc web en lloc d'una decisió d'encaminament.

Resoleu el nom que falla i després mireu la taula d'encaminament, no el navegador.

Compareu l'adreça, no el nom del lloc

Busqueu l'adreça que el client va provar realment i després comproveu quina ruta hi coincideix. Una destinació dins de 45.61.20.10 cau sota 45.0.0.0/8 si aquest prefix hi és present, encara que el lloc en si no tingui res a veure amb el túnel. Comparar l'adreça que falla amb els prefixos instal·lats és un problema de resta, no una endevinalla.

Windows pot respondre les dues meitats directament, i una consulta mostra quina interfície i quin salt següent van guanyar la selecció. Resoleu el nom dues vegades si el lloc retorna diverses adreces. Anoteu cadascuna amb la ruta que hi va coincidir. Adreces diferents poden produir respostes diferents, i només una pot ser el cas que falla.

Resolve-DnsName www.example.org
Get-NetRoute -AddressFamily IPv4 | Select-Object DestinationPrefix,InterfaceIndex,NextHop,RouteMetric
Find-NetRoute -RemoteIPAddress 45.61.20.10
Get-VpnConnection | Format-List Name,SplitTunneling,Routes

Llegiu el prefix coincident més específic, no la primera línia que sembli familiar. Una ruta present a la taula no demostra que hagi guanyat la consulta; ho fa la coincidència més llarga. Dos prefixos poden coincidir amb una adreça, i només un rep el paquet. El perdedor es queda a la taula i sembla igual de real en un llistat.

Anoteu el prefix, la seva interfície i l'adreça resolta. Aquests tres valors són tot el diagnòstic.

Esbrineu qui va instal·lar la ruta

Les rutes arriben de quatre llocs: el perfil VPN natiu, una política de gestió, un script de connexió o un client completament diferent. Suprimir l'entrada activa pot confirmar la seva rellevància, però la connexió següent la recrea a partir de la configuració desada, així que el que ha de canviar és la font.

Comproveu primer la llista de rutes del perfil, després la política de gestió, després qualsevol script que s'executi en connectar. Aquest ordre coincideix amb la freqüència amb què cadascun resulta ser el responsable. També manté el canvi en una capa en lloc de tres.

Llegiu amb atenció el comportament natiu basat en classes

Els perfils natius de Windows tenen un paràmetre documentat, NativeProfile/DisableClassBasedDefaultRoute, que controla una ruta automàtica inferida de l'adreça de la interfície. Una adreça de perfil que comenci amb 45 pot produir una entrada 45.0.0.0/8 amb aquest comportament, i així una sola adreça pública captura tot un rang de classe A.

El nom de la propietat convida a una lectura equivocada: posar-lo a true desactiva la inferència, i false l'activa. Tampoc no és el mateix objecte que una ruta per defecte, i no governa els clients de tercers que instal·len els seus propis prefixos.

Si la inferència és la causa demostrada, corregeix el perfil a través del seu propietari de gestió i proporciona explícitament els prefixos privats previstos. Si un script va afegir l'entrada, repara el script. Substituir una ruta àmplia inexplicada per una altra canvia el símptoma sense respondre la pregunta.

Repareu la font i torneu a comprovar els dos camins

Després del canvi, torneu a connectar-vos i repetiu la consulta per a un lloc públic que falla i per a un recurs que ha d'usar el túnel. El primer ara hauria de resoldre's a la interfície física, i el segon hauria de seguir seleccionant la VPN. No us atureu al primer èxit; una correcció que també trenca l'accés privat ha canviat una fallada per una altra.

Reviseu alhora el pla d'adreces del servidor. Un pool que se superposa a l'espai públic causa aquesta classe de problema una vegada i una altra. Un rang triat expressament per l'operador mereix una conversa diferent, no una renumeració automàtica.

Apujar l'MTU o esborrar la memòria cau de DNS no corregirà un prefix que encara dirigeix aquella adreça al túnel. Comproveu primer la selecció i després el camí.