Pam mae eich tabl llwybrau VPN Windows yn dangos 0.0.0.0/1 a 128.0.0.0/1

Cysylltwch â VPN Windows ac agorwch y tabl llwybrau, ac mae dau gofnod yn sefyll allan: 0.0.0.0/1 a 128.0.0.0/1. Nid ydynt yn gamgymeriad teipio ac nid ydynt yn disodli’r llwybr diofyn. Mae a ydynt yn ymddangos yn dibynnu ar un opsiwn proffil, a’r pâr yw’r ffordd y caiff twnnel llawn ei adeiladu yn hytrach na nodwedd twnnel hollt. Darllenwch yr opsiwn, y rhagddodiad a’r rhyngwyneb gyda’i gilydd cyn newid un llinell.

Beth mae’r opsiwn porth diofyn yn ei osod

Mae’r opsiwn proffil sy’n anfon popeth drwy’r twnnel yn gweithio drwy ychwanegu’r ddau ragddodiad hynny. Cliriwch yr opsiwn a byddant yn diflannu, gan adael llwybr sy’n cwmpasu dim ond yr is-rwydwaith a roddwyd i addasydd y twnnel. Mae’r blwch ticio yn rheoli’r pâr; nid yw’n ailysgrifennu’r un llwybr diofyn. Dyna pam mae’r tabl ar ôl dad-dicio yn edrych fel ailysgrifennu rhannol yn hytrach na dilead.

Mae 0.0.0.0/1 yn cwmpasu hanner isaf gofod IPv4 ac mae 128.0.0.0/1 yn cwmpasu’r hanner uchaf, felly gyda’i gilydd maent yn cwmpasu pob cyfeiriad uncas. Mae pob un yn fwy penodol na llwybr diofyn 0.0.0.0/0, sy’n golygu bod cyfateb rhagddodiad hiraf yn anfon traffig cyffredin i’r twnnel tra bod y llwybr diofyn ffisegol yn aros lle’r oedd. Nid yw cadw’r llwybr diofyn hwnnw yn gosmig: mae’r pecynnau sy’n lapio’r llwyth tâl wedi’i amgryptio wedi’u cyfeirio at gyfeiriad cyhoeddus y gweinydd ac yn gorfod gadael drwy’r addasydd ffisegol. Disodlwch y llwybr diofyn yn lle ei hollti, a bydd cludiant y twnnel ei hun yn ceisio mynd i mewn i’r twnnel, sef dolen yn hytrach na chysylltiad.

Felly mae’n werth aros o flaen 0.0.0.0/0 llythrennol sy’n pwyntio at addasydd y VPN. Nid yw’r cleient brodorol fel arfer yn ysgrifennu hynny, felly mae llwybr â llaw neu ffurfweddiad cleient arall wedi newid y tabl y tu ôl i’ch cefn. Dewch o hyd iddo cyn dadfygio unrhyw beth i lawr yr afon.

Mae datgymalu’n rhatach na chadw porth

Datgymalu yw’r ddadl ymarferol dros ddau gofnod yn hytrach nag un. Mae’r cleient yn berchen ar union ddau lwybr tra’i fod wedi’i gysylltu ac yn eu dileu wrth ddatgysylltu, gan adael yr hyn sydd gan yr addasydd ffisegol ar y pryd. Byddai cleient a oedd wedi disodli’r un llwybr diofyn yn gorfod cofio’r porth blaenorol, ac ar ôl newid les DHCP gallai adfer un nad yw’n bodoli mwyach. Nid yw dau gofnod sy’n eiddo yn cario unrhyw gyflwr o’r fath.

Mae cleientiaid eraill yn cyrraedd yr un dyluniad. Mae proffil OpenVPN gyda redirect-gateway def1 yn gosod y ddau ragddodiad hynny yn lle dileu’r llwybr diofyn, ac mae cleient Windows yn dilyn yr un patrwm am yr un rheswm llwybro.

Dyma hefyd pam y gall tabl edrych fel twnnel llawn pan oeddech yn disgwyl hollt. Y pâr yw’r ffordd y caiff y twnnel llawn ei adeiladu, nid tystiolaeth o gamgymeriad twnnel hollt. Os yw’r proffil wedi’i osod i ddefnyddio’r porth anghysbell, mae popeth yn cael ei lwybro, beth bynnag y llwydda un cymhwysiad lleol i’w gyrraedd.

Mae’r rhagddodiad hiraf yn ennill cyn unrhyw fetrig

Mae hyd y rhagddodiad yn penderfynu’r chwiliad cyn unrhyw faes arall. Dim ond rhwng llwybrau â rhagddodiad union yr un fath y mae’r metrig yn torri cyfartal, felly mae cofnod /1 yn curo llwybr diofyn /0 hyd yn oed pan fo ei fetrig yn waeth. Rhwymiad rhyngwyneb sy’n penderfynu beth sy’n weddill pan fydd dau lwybr yn rhannu rhagddodiad a bod rhaid i Windows ddewis pa addasydd sy’n anfon y pecyn.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Mae tabl twnnel hollt yn dal y llwybr diofyn ffisegol, y ddau hanner-llwybr diofyn, y llwybr ar gyfer is-rwydwaith y twnnel ac unrhyw ragddodiad swyddfa a ychwanegoch. Gall y llwybr diofyn ffisegol fod ar fetrig is neu uwch yn dibynnu ar y cleient a’r proffil, a thra bod y pâr /1 yn bodoli nid yw’r gwahaniaeth hwnnw’n newid dim. Mae’n newid popeth y foment y tynnir y pâr, sef pan ddaw porth hen neu ryngwyneb anghywir i’r wyneb. Darllenwch y tabl cyfan yn hytrach na’r un llinell yr oeddech yn disgwyl ei newid.

Dewiswch un perchennog ar gyfer rhagddodiad y swyddfa

Ar gyfer twnnel hollt, enwch y rhagddodiad yn unig sy’n gorfod defnyddio’r VPN, a dewiswch un ffordd o fod yn berchen arno. Mae pwyntio’r llwybr at y cyfeiriad twnnel a aseinwyd yn gweithio nes i’r cyfeiriad hwnnw newid, tra bod rhwymo i’r rhyngwyneb yn goroesi’r cyfeiriad ond yn torri pan ailaseinir y mynegai ar ôl ailadeiladu’r proffil. Mae’r cmdlet sy’n rhwym wrth y proffil yn osgoi’r ddau broblem, ar gost bod angen y proffil.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Mae’r cmdlet yn rhwymo’r rhagddodiad i’r proffil a enwyd, felly mae’r llwybr yn ymddangos gyda’r cysylltiad ac yn ymadael gydag ef, sef yr hyn y mae gliniadur a reolir yn ei eisiau. Mae llwybr parhaus yn goroesi ailgychwyn ac yn goroesi’r proffil a’i sbardunodd, a dyna sut mae VPN sydd wedi’i roi i orffwys yn gadael cofnodion ar ôl am flynyddoedd. Dewiswch un dull fesul rhagddodiad a nodwch y dewis, oherwydd llwybr parhaus ynghyd â llwybr proffil ar gyfer yr un rhagddodiad sy’n cynhyrchu dyblygiadau sy’n boenus i’w datglymu yn ystod datgymalu. Beth bynnag a ddewiswch, dylai’r perchnogaeth fod yn weladwy yn y tocyn ac nid ar y peiriant yn unig.

Perchnogaeth yw’r cwestiwn y mae’r adran hon yn ei ateb, nid cystrawen. Dau berchennog ar gyfer un rhagddodiad yw’r modd methu sy’n werth ei osgoi.

Gwiriwch gyda chyrchfan, nid gwefan

Profwch y gyrchfan sy’n gorfod croesi’r twnnel, nid gwefan sy’n adrodd cyfeiriad allanfa. Find-NetRoute yn dychwelyd y llwybr a ddewiswyd a’r cyfeiriad ffynhonnell, felly gallwch weld ai rhagddodiad y swyddfa ynteu’r llwybr diofyn ffisegol a enillodd, ac yna agorwch y gyfran ei hun.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Mae gwefan cyfeiriad allanfa yn wiriad gwan, oherwydd gall DNS, IPv6 a phrosi porwr anfon y cais hwnnw ar hyd llwybr gwahanol. Mae gan IPv4 ac IPv6 osodiadau ar wahân yn yr un deialog hefyd, a thrwy glirio un blwch mae’r teulu arall yn aros heb ei gyffwrdd, felly gall peiriant deu-stac gario IPv6 drwy’r twnnel tra bod IPv4 yn dilyn y llwybr hollt. Gwiriwch y ddau deulu cyn galw’r proffil yn hollt. Os yw’r llwybr yn iawn ac mae’r gwasanaeth yn dal i fethu, yr haen sy’n weddill yw hidlo yn hytrach na llwybro.

Gall mur tân a reolir gan y cleient rwystro is-rwydwaith y swyddfa gyda thabl llwybrau perffaith ar waith. Mae’r polisi hwnnw’n eiddo i’r sawl a wthiodd y proffil, nid i’r sawl sy’n golygu llwybrau.