Hvorfor din Windows VPN-rutetabel viser 0.0.0.0/1 og 128.0.0.0/1

Opret forbindelse til en Windows-VPN og åbn rutetabellen, og to poster skiller sig ud: 0.0.0.0/1 og 128.0.0.0/1. De er ikke en tastefejl, og de erstatter ikke standardruten. Om de vises, afhænger af én profilindstilling, og parret er måden, en fuld tunnel bygges på, ikke en funktion til split-tunnel. Læs indstillingen, præfikset og grænsefladen sammen, før du ændrer en enkelt linje.

Hvad standardgateway-indstillingen installerer

Profilindstillingen, der sender alt gennem tunnelen, virker ved at tilføje de to præfikser. Fjern indstillingen, og de forsvinder og efterlader en rute, der kun dækker det undernet, tunneladapteren har fået. Afkrydsningsfeltet styrer parret; det omskriver ikke den enkelte standardrute. Derfor ser tabellen efter fjernelse af fluebenet ud som en delvis omskrivning i stedet for en sletning.

0.0.0.0/1 dækker den nederste halvdel af IPv4-rummet, og 128.0.0.0/1 dækker den øverste halvdel, så sammen dækker de hver unicast-adresse. Hver af dem er mere specifik end en standardrute 0.0.0.0/0, hvilket betyder, at matchning på længste præfiks sender almindelig trafik ind i tunnelen, mens den fysiske standardrute bliver, hvor den var. At beholde den standardrute er ikke kosmetik: de pakker, der indkapsler den krypterede last, er adresseret til serverens offentlige adresse og skal forlade systemet via den fysiske adapter. Erstat standardruten i stedet for at dele den, og tunnelens egen transport vil forsøge at gå ind i tunnelen, hvilket er en løkke og ikke en forbindelse.

Derfor er en bogstavelig 0.0.0.0/0, der peger på VPN-adapteren, værd at stoppe op ved. Den native klient skriver normalt ikke en sådan, så en manuel rute eller en anden klients konfiguration har ændret tabellen bag din ryg. Find den, før du fejlfinder noget længere nede.

Nedrivning er billigere end at gemme en gateway

Nedrivning er det praktiske argument for to poster frem for én. Klienten ejer præcis to ruter, mens den er forbundet, og sletter dem ved afbrydelse og efterlader det, den fysiske adapter har på det tidspunkt. En klient, der havde erstattet den enkelte standardrute, ville skulle huske den tidligere gateway og kunne efter en ændret DHCP-lease gendanne en, der ikke findes længere. To ejede poster bærer ingen sådan tilstand.

Andre klienter når samme design. En OpenVPN-profil med redirect-gateway def1 installerer de to præfikser i stedet for at slette standardruten, og Windows-klienten følger mønstret af samme routinggrund.

Det er også derfor, en tabel kan se ud som en fuld tunnel, når du forventede en split. Parret er måden, den fulde tunnel bygges på, ikke bevis på en split-tunnel-fejl. Hvis profilen er sat til at bruge den eksterne gateway, routes alt, uanset hvad en lokal applikation stadig når.

Længste præfiks vinder før enhver metrik

Præfikslængden afgør opslaget før ethvert andet felt. Metrikken bryder kun uafgjort mellem ruter med identisk præfiks, så en /1-post slår en /0-standard, selv når dens metrik er dårligere. Interface-binding afgør, hvad der er tilbage, når to ruter deler et præfiks, og Windows skal vælge, hvilken adapter der sender pakken.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

En split-tunnel-tabel rummer den fysiske standardrute, de to halvstandarder, ruten til tunnelens undernet og ethvert kontorpræfiks, du har tilføjet. Den fysiske standardrute kan ligge på en lavere eller højere metrik afhængigt af klienten og profilen, og mens /1-parret findes, ændrer den forskel intet. Den ændrer alt i det øjeblik, parret fjernes, og det er da en forældet gateway eller en forkert grænseflade dukker op. Læs hele tabellen i stedet for den ene linje, du forventede at ændre.

Vælg én ejer til kontorpræfikset

Til en split-tunnel skal du kun navngive det præfiks, der skal bruge VPN’en, og vælge én måde at eje det på. At pege ruten mod den tildelte tunneladresse virker, indtil adressen ændres, mens binding til grænsefladen overlever adressen, men brækker, når indekset tildeles igen, efter profilen er genopbygget. Cmdlet’en, der er bundet til profilen, undgår begge problemer, mod at profilen er nødvendig.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdlet’en binder præfikset til den navngivne profil, så ruten vises med forbindelsen og forsvinder med den, hvilket er det, en administreret bærbar vil have. En vedvarende rute overlever genstart og overlever den profil, der motiverede den, og det er sådan en nedlagt VPN efterlader poster i årevis. Vælg én metode pr. præfiks, og noter valget, for en vedvarende rute plus en profilrute til samme præfiks giver dubletter, der er svære at rede ud under nedrivning. Uanset hvad du vælger, bør ejerskabet være synligt i sagen og ikke kun på maskinen.

Ejerskab er det spørgsmål, dette afsnit besvarer, ikke syntaks. To ejere til ét præfiks er den fejltilstand, der er værd at undgå.

Verificér med en destination, ikke et websted

Test den destination, der skal krydse tunnelen, ikke et websted, der rapporterer en udgangsadresse. Find-NetRoute returnerer den valgte rute og kildeadressen, så du kan se, om kontorpræfikset eller den fysiske standardrute vandt, og derefter åbner du selve delingen.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Et udgangsadresse-websted er en svag kontrol, fordi DNS, IPv6 og en browserproxy hver kan sende den anmodning ad en anden vej. IPv4 og IPv6 har også separate indstillinger i samme dialog, og fjernelse af ét flueben lader den anden familie urørt, så en maskine med dobbelt stak kan føre IPv6 gennem tunnelen, mens IPv4 følger split-ruten. Kontrollér begge familier, før du kalder profilen splittet. Hvis ruten er rigtig, og tjenesten stadig fejler, er det resterende lag filtrering og ikke routing.

En klientstyret firewall kan blokere kontorets undernet med en perfekt rutetabel på plads. Den politik tilhører den, der har skubbet profilen, ikke den, der redigerer ruter.