Γιατί ο πίνακας δρομολόγησης VPN των Windows δείχνει 0.0.0.0/1 και 128.0.0.0/1

Συνδεθείτε σε ένα VPN των Windows και ανοίξτε τον πίνακα δρομολόγησης, και δύο καταχωρίσεις ξεχωρίζουν: 0.0.0.0/1 και 128.0.0.0/1. Δεν είναι τυπογραφικό λάθος και δεν αντικαθιστούν την προεπιλεγμένη διαδρομή. Το αν εμφανίζονται εξαρτάται από μία επιλογή προφίλ, και το ζεύγος είναι ο τρόπος με τον οποίο χτίζεται ένα πλήρες τούνελ, όχι λειτουργία διαχωρισμένου τούνελ. Διαβάστε την επιλογή, το πρόθεμα και τη διεπαφή μαζί πριν αλλάξετε μία γραμμή.

Τι εγκαθιστά η επιλογή προεπιλεγμένης πύλης

Η επιλογή προφίλ που στέλνει τα πάντα μέσα από το τούνελ λειτουργεί προσθέτοντας αυτά τα δύο προθέματα. Καταργήστε την επιλογή και εξαφανίζονται, αφήνοντας μια διαδρομή που καλύπτει μόνο το υποδίκτυο που δόθηκε στον προσαρμογέα του τούνελ. Το πλαίσιο ελέγχου χειρίζεται το ζεύγος· δεν ξαναγράφει τη μοναδική προεπιλεγμένη διαδρομή. Γι’ αυτό ο πίνακας μετά την αφαίρεση του τσεκ φαίνεται σαν μερική επανεγγραφή και όχι σαν διαγραφή.

Το 0.0.0.0/1 καλύπτει το κάτω μισό του χώρου IPv4 και το 128.0.0.0/1 το πάνω μισό, άρα μαζί καλύπτουν κάθε διεύθυνση unicast. Καθένα είναι πιο συγκεκριμένο από μια προεπιλεγμένη διαδρομή 0.0.0.0/0, που σημαίνει ότι η αντιστοίχιση με το μεγαλύτερο πρόθεμα στέλνει τη συνηθισμένη κίνηση στο τούνελ ενώ η φυσική προεπιλεγμένη διαδρομή μένει εκεί που ήταν. Το να κρατήσετε αυτή την προεπιλογή δεν είναι καλλωπισμός: τα πακέτα που τυλίγουν το κρυπτογραφημένο ωφέλιμο φορτίο απευθύνονται στη δημόσια διεύθυνση του διακομιστή και πρέπει να βγουν από τον φυσικό προσαρμογέα. Αντικαταστήστε την προεπιλογή αντί να τη χωρίσετε, και η μεταφορά του ίδιου του τούνελ θα προσπαθήσει να μπει στο τούνελ, που είναι βρόχος και όχι σύνδεση.

Γι’ αυτό αξίζει να σταματήσετε σε μια κατά γράμμα 0.0.0.0/0 που δείχνει στον προσαρμογέα VPN. Ο εγγενής πελάτης συνήθως δεν γράφει κάτι τέτοιο, άρα μια χειροκίνητη διαδρομή ή η ρύθμιση άλλου πελάτη άλλαξε τον πίνακα πίσω από την πλάτη σας. Βρείτε το πριν κάνετε αποσφαλμάτωση σε οτιδήποτε πιο κάτω.

Η αποσυναρμολόγηση είναι φθηνότερη από τη διατήρηση πύλης

Η αποσυναρμολόγηση είναι το πρακτικό επιχείρημα υπέρ δύο καταχωρίσεων αντί για μία. Ο πελάτης κατέχει ακριβώς δύο διαδρομές όσο είναι συνδεδεμένος και τις διαγράφει κατά την αποσύνδεση, αφήνοντας ό,τι κρατά ο φυσικός προσαρμογέας εκείνη τη στιγμή. Ένας πελάτης που είχε αντικαταστήσει τη μοναδική προεπιλογή θα έπρεπε να θυμάται την προηγούμενη πύλη, και μετά από αλλαγή μίσθωσης DHCP θα μπορούσε να επαναφέρει μια που δεν υπάρχει πια. Δύο ιδιόκτητες καταχωρίσεις δεν φέρουν τέτοια κατάσταση.

Άλλοι πελάτες καταλήγουν στο ίδιο σχέδιο. Ένα προφίλ OpenVPN με redirect-gateway def1 εγκαθιστά αυτά τα δύο προθέματα αντί να διαγράψει την προεπιλογή, και ο πελάτης των Windows ακολουθεί το μοτίβο για τον ίδιο λόγο δρομολόγησης.

Γι’ αυτό επίσης ένας πίνακας μπορεί να μοιάζει με πλήρες τούνελ όταν περιμένατε διαχωρισμό. Το ζεύγος είναι ο τρόπος που χτίζεται το πλήρες τούνελ, όχι απόδειξη λάθους διαχωρισμένου τούνελ. Αν το προφίλ έχει ρυθμιστεί να χρησιμοποιεί την απομακρυσμένη πύλη, όλα δρομολογούνται, ό,τι κι αν καταφέρνει να φτάσει μια τοπική εφαρμογή.

Το μεγαλύτερο πρόθεμα κερδίζει πριν από οποιαδήποτε μετρική

Το μήκος του προθέματος καθορίζει την αναζήτηση πριν από κάθε άλλο πεδίο. Η μετρική απλώς λύνει ισοπαλίες μεταξύ διαδρομών με ταυτόσημο πρόθεμα, άρα μια καταχώριση /1 κερδίζει μια προεπιλογή /0 ακόμη και όταν η μετρική της είναι χειρότερη. Η σύνδεση με τη διεπαφή καθορίζει τι μένει όταν δύο διαδρομές μοιράζονται ένα πρόθεμα και τα Windows πρέπει να διαλέξουν ποιος προσαρμογέας θα στείλει το πακέτο.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Ένας πίνακας διαχωρισμένου τούνελ κρατά τη φυσική προεπιλογή, τις δύο μισές-προεπιλογές, τη διαδρομή για το υποδίκτυο του τούνελ και κάθε πρόθεμα γραφείου που προσθέσατε. Η φυσική προεπιλογή μπορεί να βρίσκεται σε χαμηλότερη ή υψηλότερη μετρική ανάλογα με τον πελάτη και το προφίλ, και όσο υπάρχει το ζεύγος /1 αυτή η διαφορά δεν αλλάζει τίποτα. Αλλάζει τα πάντα τη στιγμή που αφαιρείται το ζεύγος, και τότε εμφανίζεται μια παρωχημένη πύλη ή μια λάθος διεπαφή. Διαβάστε όλο τον πίνακα και όχι τη γραμμή που περιμένατε να αλλάξει.

Διαλέξτε έναν ιδιοκτήτη για το πρόθεμα γραφείου

Για ένα διαχωρισμένο τούνελ, ονομάστε μόνο το πρόθεμα που πρέπει να χρησιμοποιεί το VPN και διαλέξτε έναν τρόπο να το κατέχετε. Το να δείχνετε τη διαδρομή στη διεύθυνση του τούνελ που σας ανατέθηκε λειτουργεί μέχρι να αλλάξει αυτή η διεύθυνση, ενώ η σύνδεση με τη διεπαφή επιβιώνει της διεύθυνσης αλλά σπάει όταν ο δείκτης ανατίθεται ξανά μετά την ανακατασκευή του προφίλ. Το cmdlet που είναι δεσμευμένο στο προφίλ αποφεύγει και τα δύο προβλήματα, με κόστος την ανάγκη του προφίλ.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Το cmdlet δεσμεύει το πρόθεμα στο ονομασμένο προφίλ, οπότε η διαδρομή εμφανίζεται μαζί με τη σύνδεση και φεύγει μαζί της, που είναι αυτό που θέλει ένα διαχειριζόμενο φορητό. Μια επίμονη διαδρομή επιβιώνει από επανεκκινήσεις και επιβιώνει από το προφίλ που την προκάλεσε, κι έτσι ένα VPN που αποσύρθηκε αφήνει καταχωρίσεις για χρόνια. Διαλέξτε μία μέθοδο ανά πρόθεμα και σημειώστε την επιλογή, γιατί μια επίμονη διαδρομή μαζί με μια διαδρομή προφίλ για το ίδιο πρόθεμα παράγουν διπλότυπα που είναι επώδυνο να ξεμπερδευτούν κατά την αποσυναρμολόγηση. Ό,τι κι αν διαλέξετε, η ιδιοκτησία πρέπει να φαίνεται στο δελτίο και όχι μόνο στο μηχάνημα.

Η ιδιοκτησία είναι το ερώτημα στο οποίο απαντά αυτή η ενότητα, όχι η σύνταξη. Δύο ιδιοκτήτες για ένα πρόθεμα είναι ο τρόπος αποτυχίας που αξίζει να αποφύγετε.

Επαληθεύστε με έναν προορισμό, όχι με έναν ιστότοπο

Δοκιμάστε τον προορισμό που πρέπει να διασχίσει το τούνελ, όχι έναν ιστότοπο που αναφέρει διεύθυνση εξόδου. Find-NetRoute επιστρέφει την επιλεγμένη διαδρομή και τη διεύθυνση προέλευσης, ώστε να δείτε αν κέρδισε το πρόθεμα γραφείου ή η φυσική προεπιλογή, και μετά ανοίγετε τον ίδιο τον κοινόχρηστο φάκελο.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Ένας ιστότοπος διεύθυνσης εξόδου είναι αδύναμος έλεγχος, γιατί DNS, IPv6 και ένας διακομιστής μεσολάβησης του προγράμματος περιήγησης μπορούν να στείλουν αυτό το αίτημα από διαφορετική διαδρομή. Τα IPv4 και IPv6 έχουν επίσης ξεχωριστές ρυθμίσεις στο ίδιο παράθυρο διαλόγου, και το να αδειάσετε ένα πλαίσιο αφήνει την άλλη οικογένεια ανέπαφη, οπότε ένα μηχάνημα διπλής στοίβας μπορεί να μεταφέρει IPv6 μέσα από το τούνελ ενώ το IPv4 ακολουθεί τη διαχωρισμένη διαδρομή. Ελέγξτε και τις δύο οικογένειες πριν χαρακτηρίσετε το προφίλ διαχωρισμένο. Αν η διαδρομή είναι σωστή και η υπηρεσία εξακολουθεί να αποτυγχάνει, το επίπεδο που απομένει είναι φιλτράρισμα και όχι δρομολόγηση.

Ένα τείχος προστασίας που διαχειρίζεται ο πελάτης μπορεί να αποκλείσει το υποδίκτυο του γραφείου με τέλειο πίνακα δρομολόγησης. Αυτή η πολιτική ανήκει σε όποιον έστειλε το προφίλ, όχι στο άτομο που επεξεργάζεται διαδρομές.