Pam mae un is-rwydwaith yn dal i osgoi llwybr diofyn eich VPN

Rydych chi'n newid y VPN i dwnnel llawn, mae'r rhan fwyaf o draffig yn ufuddhau, ac yna mae un cyfeiriad yn ateb yn syth — argraffydd, NAS, gwesteiwr neidio ar 10.x. Y darlleniad amlwg yw bod y twnnel yn gollwng, felly rydych chi'n gostwng metrig y llwybr diofyn ac nid oes dim yn newid. Yr ymgais aflwyddiannus honno yw'r cliw: mae llwybr diofyn yn gefnlen, nid yn farn. Mae'r chwiliad llwybro yn cymryd y rhagddodiad cyfatebol hiraf cyn iddo erioed gymharu metrigau, felly mae /24 yn parhau i ennill yn erbyn /0 waeth pa rif bynnag a atodwch wrth y naill neu'r llall. Unwaith y bydd y drefn honno'n glir, mae'r gollyngiad fel arfer yn llwybr a osodwyd gan rywun yn fwriadol, neu'n rhagddodiad nad oedd y cleient byth yn bwriadu ei gynnwys.

Beth mae llwybr diofyn yn ei addo mewn gwirionedd

Mae 0.0.0.0/0 yn cyfateb i bob cyrchfan IPv4 gyda dim darnau o benodoldeb. Mae'n bodoli fel y gall gwesteiwr gyrraedd unrhyw beth nad yw ei dabl yn ei ddisgrifio'n well. Mae llwybr i 192.168.1.0/24 yn cario 24 darn cyfatebol, felly ar gyfer 192.168.1.40 mae'n ennill cyn i unrhyw un gymharu metrigau, pellter gweinyddol neu beth bynnag y mae'r cleient yn ei alw'n faes blaenoriaeth. Mae'r un rheol yn dal yn Linux FIB, yng nghlwb llwybro Windows ac yn stac BSD y tu ôl i macOS.

Ar LAN arferol mae'r ymddygiad hwnnw'n nodwedd. Mae'r is-rwydwaith lleol wedi'i gysylltu'n uniongyrchol, mae'r argraffydd yn parhau i weithio tra bod y twnnel yn cario eich pori, ac nid oes dim wedi'i gamgyflunio. Y cwestiwn sy'n werth ei ofyn nid yw pam mae'r un cyfeiriad hwnnw'n mynd yn syth, ond pa raglen yn pa dabl sy'n cyfateb iddo, a phwy a'i gosododd yno.

Hanner-ddiffygion, neu pam y gall y cofnod diofyn edrych yn ddianaf

Yr enghraifft gliriaf yw redirect-gateway def1 OpenVPN. Yn lle dileu eich llwybr diofyn a'i ddisodli, mae'n ychwanegu 0.0.0.0/1 a 128.0.0.0/1. Gyda'i gilydd mae'r pâr yn cwmpasu holl IPv4, mae pob rhagddodiad yn hirach na /0, ac mae'r ddau yn curo llwybr diofyn y llwybrydd tra'n ei adael yn ei le. Rhedwch restliad llwybrau wedyn ac mae'r llwybr diofyn gwreiddiol yn dal yno, yn dal i bwyntio at eich porth; nid yw byth yn cael ei ddewis ar gyfer cyrchfannau rhyngrwyd.

Mae wg-quick WireGuard yn cyrraedd yr un canlyniad trwy lwybro polisi. Gydag AllowedIPs yn cwmpasu 0.0.0.0/0 mae'n creu ei dabl ei hun, yn anfon pecynnau wedi'u marcio yno, ac yn ychwanegu rheol sy'n anwybyddu rhagddodiad hyd sero y prif dabl. Mae'r prif dabl yn cadw ei gofnod diofyn, ac mae'r rheolau'n penderfynu mai'r tabl twnnel sy'n cael ei ymgynghori gyntaf ar gyfer y traffig y mae'r rhyngwyneb yn berchen arno.

Mae'r ddau ddyluniad angen yn union un llwybr y tu allan i'r twnnel: llwybr gwesteiwr i gyfeiriad y gweinydd VPN ei hun drwy'r porth gwreiddiol. Heb hwnnw byddai'r cleient yn ceisio cario'r pecynnau sy'n adeiladu'r twnnel y tu mewn i'r twnnel, ac ni fyddai'r cysylltiad byth yn cwblhau. Felly mae llwybr nad yw'n dwnnel yn eich tabl yn normal hyd yn oed ar broffil twnnel llawn caeth. Y llwybrau sy'n werth eu hamau yw'r rhai sy'n cwmpasu cyrchfannau y mae gwir angen i chi ofalu amdanynt.

Metrigau sy'n penderfynu cyfartal, rhagddodiaid sy'n penderfynu enillwyr

Dim ond ymhlith ymgeiswyr sy'n cyfateb i'r gyrchfan yr un mor dda y mae metrigau'n cael eu cymharu. Ar Linux, ip route get 10.20.5.9 argraffu'r enillydd ynghyd â'i dabl, a ip route show table all yn rhestru'r ymgeiswyr, gan gynnwys unrhyw hanner-ddiffygion ac unrhyw dabl y mae rheol yn pwyntio ato. Ar Windows, Find-NetRoute -RemoteIPAddress 10.20.5.9 yn dychwelyd y llwybr a ddewiswyd a'r cyfeiriad ffynhonnell, tra Get-NetRoute yn dangos y tabl crai — ond y gost effeithiol yw metrig llwybr plws metrig rhyngwyneb, felly gall addasydd araf golli cyfartaledd y mae'n ymddangos ei fod yn ei ennill.

Mae tri achos yn cwmpasu'r rhan fwyaf o'r hyn a welwch:

• Yr un gyrchfan, /24 yn erbyn /0: mae'r /24 yn ennill ar hyd rhagddodiad, beth bynnag a ddywed y metrigau.
• Yr un gyrchfan, dau /24 â metrigau gwahanol: mae'r metrig effeithiol isaf yn ennill.
• Yr un gyrchfan, dau dabl, un wedi'i ddewis gan reol polisi: mae'r rheol yn dewis y tabl yn gyntaf, ac mae cymhariaeth rhagddodiadau'n digwydd y tu mewn iddo.

Y trydydd achos yw lle mae'r rhan fwyaf o'r adroddiadau hyn yn gorffen. Gall ip rule Linux neu hidlydd traffig VPN Windows anfon traffig i dabl nad oedd byth yn dal llwybr diofyn y twnnel, tra bod y prif dabl yn edrych yn berffaith drwy'r amser.

Pwy sy'n berchen ar yr osgoiad fel arfer

Dechreuwch gyda'r proffil, nid y tabl. Mae ffurfweddiadau twnnel hollt a gosodiadau VPN fesul ap yn gadael rhagddodiaid a enwir y tu allan i'r twnnel yn fwriadol; mae proffil gwaith sy'n diogelu un is-rwydwaith breifat ac yn gadael pori cyffredinol i fynd yn syth yn ymddwyn fel y'i dyluniwyd, ac mae ei ddiystyru'n torri'r polisi y'i hadeiladwyd i'w orfodi. Mae canllaw llwybro VPN Microsoft yn tynnu'r un llinell rhwng traffig wedi'i orfodi drwy'r twnnel ac eithriadau penodol, sy'n ei wneud yn groes-wiriad defnyddiol cyn i chi olygu unrhyw beth.

Nesaf, chwiliwch am weddillion. Mae llwybr sy'n pwyntio at ryngwyneb nad yw'n bodoli mwyach, neu at gyfeiriad o'r rhwydwaith flaenorol, yn ymddangos ar ôl i orsafoedd docio, addaswyr USB a phontydd cynhwysydd ddod a mynd. Nid yw ei ddileu unwaith yn ddiwedd ar y mater: mae proffiliau cysylltiad NetworkManager, ffeiliau netplan a llwybrau parhaus Windows yn ei ailosod ar y cysylltiad neu'r cychwyn nesaf, felly dewch o hyd i'r ffeil neu'r proffil sy'n berchen arno cyn golygu unrhyw beth.

Yna gwiriwch IPv6 ar ei ben ei hun. ip -6 route a Get-NetRoute -AddressFamily IPv6 yn dal cyflwr ar wahân, llwybrau diofyn ar wahân ac ymddygiad cleient ar wahân. Nid yw archwiliad IPv4 yn unig yn dweud dim am westeiwr deu-stac sy'n dawel ffafrio llwybr IPv6 brodorol, a gall hynny ar ei ben ei hun wneud i gleient edrych fel twnnel hollt.

Cadarnhewch â llif yr ap ei hun

Cofnodwch y gyrchfan y mae'r ap yn ei defnyddio mewn gwirionedd, yna gofynnwch i'r system am y llwybr y byddai'n ei gymryd o'r cyfeiriad ffynhonnell y mae'r ap hwnnw'n rhwymo iddo. ip route get 10.20.5.9 from 192.168.1.40 sy'n ateb hynny ar Linux; Find-NetRoute -RemoteIPAddress 10.20.5.9 ynghyd â'r cyfeiriad lleol sy'n gwneud hynny ar Windows. Cymharwch y canlyniad â'r hyn y mae'r proffil yn ei honni. Mae tudalen IP cyhoeddus porwr yn profi un gyrchfan ar un protocol ac yn dweud dim am y cyfeiriad preifat a gychwynnodd y gŵyn.

Trwsiwch y gwrthrych culaf sy'n esbonio'r gwahaniaeth. Os yw'r eithriad wedi'i gymeradwyo, nodwch y rhagddodiad a'i adael; os nad yw, tynnwch y llwybr neu ychwanegwch lwybr culach penodol drwy'r twnnel yn lle gostwng metrig y diofyn. Ni all gostwng metrig ragori ar ragddodiad hirach, ac nid yw golygu'r diofyn tra bo dau lwybr /1 yn berchen ar y llwybr rhyngrwyd yn newid dim ychwaith.

Yna ailgysylltwch y twnnel ac ailadroddwch yr un ymholiad. Mae cleientiaid yn ailosod llwybrau ar bob cysylltiad, felly nid yw newid sy'n goroesi hyd at y llawysgrif nesaf wedi'i brofi. Os yw'r llwybr yn dal i wyro, y rhai dan amheuaeth sy'n weddill yw rheol polisi, ail dabl neu hidlydd ar ochr y cleient — nid y llwybr diofyn.

• Enwch y gyrchfan a'r cyfeiriad ffynhonnell y mae'r ap yn eu defnyddio mewn gwirionedd.
• Argraffwch y llwybr buddugol gyda ip route get neu Find-NetRoute.
• Gwiriwch ai pâr /1 neu dabl polisi sy'n berchen ar lwybr y rhyngrwyd.
• Rhestrwch bob rhagddodiad hirach na /0 sy'n cyfateb i'r gyrchfan.
• Ailadroddwch wiriad IPv6 ar wahân.
• Olrheiniwch y llwybr sy'n goroesi yn ôl i'r ffeil, y proffil neu'r hidlydd sy'n ei osod.
• Ailgysylltwch ac ailredegwch yr ymholiad cyn dweud bod hynny wedi'i drwsio.

Os yw'r saith ohonynt yn cytuno â'r proffil, mae'r twnnel yn gwneud yn union yr hyn y'i ffurfweddwyd i'w wneud, ac mae'r trwsiad yn perthyn i'r proffil yn hytrach nag i fetrig.