Miks lai VPN-marsruut rikub mõned avalikud saidid

Enamik lehti laaditakse, kaks või kolm lähevad ajalõppu ja brauser süüdistab ühendust. Saitidel, mis ei avane, on ühine joon, mida töötavatel pole: nende lahendatud aadressid jäävad prefiksi sisse, mille VPN paigaldas. Marsruut, mis on piisavalt lai, et katta avalikku vahemikku, haarab liiklust, mida tunnel ei pidanud kunagi kandma, ja sümptom näeb välja nagu veebisaidi probleem, mitte marsruutimisotsus.

Lahendage nurjuv nimi ja vaadake siis marsruutimistabelit, mitte brauserit.

Võrrelge aadressi, mitte saidi nime

Otsige üles aadress, mida klient tegelikult proovis, ja kontrollige siis, milline marsruut sellega sobib. Sihtkoht vahemikus 45.61.20.10 jääb 45.0.0.0/8 alla, kui see prefiks on olemas, isegi kui saidil endal pole tunneliga mingit seost. Nurjuva aadressi võrdlemine paigaldatud prefiksitega on lahutamisülesanne, mitte oletus.

Windows suudab vastata mõlemale poolele otse ja otsing näitab, milline liides ja järgmine hüpe valiku võitsid. Lahendage nimi kaks korda, kui sait tagastab mitu aadressi. Kirjutage igaüks üles koos marsruudiga, mis sellega sobis. Erinevad aadressid võivad anda erinevaid vastuseid ja ainult üks neist võib olla nurjuv juhtum.

Resolve-DnsName www.example.org
Get-NetRoute -AddressFamily IPv4 | Select-Object DestinationPrefix,InterfaceIndex,NextHop,RouteMetric
Find-NetRoute -RemoteIPAddress 45.61.20.10
Get-VpnConnection | Format-List Name,SplitTunneling,Routes

Lugege kõige täpsemat sobivat prefiksit, mitte esimest rida, mis tundub tuttav. Tabelis olev marsruut ei tõesta, et see otsingu võitis; seda teeb pikim sobivus. Kaks prefiksit võivad sobida ühe aadressiga ja ainult üks neist saab paketi. Kaotaja jääb tabelisse ja näeb loendis sama reaalsena.

Kirjutage üles prefiks, selle liides ja lahendatud aadress. Need kolm väärtust on kogu diagnoos.

Leidke, kes marsruudi paigaldas

Marsruudid tulevad neljast kohast: kohalikust VPN-profiilist, halduspoliitikast, ühenduse skriptist või hoopis teisest kliendist. Rea kustutamine võib kinnitada selle asjakohasust, kuid järgmine ühendus loob selle salvestatud konfiguratsioonist uuesti, seega tuleb muuta allikat.

Kontrollige esmalt profiili marsruudiloendit, seejärel halduspoliitikat, seejärel mis tahes skripti, mis ühendamisel käivitub. See järjekord vastab sellele, kui tihti igaüks neist vastutavaks osutub. See hoiab muudatuse ka ühes kihis kolme asemel.

Lugege kohalikku klassipõhist käitumist hoolikalt

Kohalikel Windowsi profiilidel on dokumenteeritud säte NativeProfile/DisableClassBasedDefaultRoute, mis juhib liidese aadressist tuletatud automaatset marsruuti. Profiiliaadress, mis algab numbriga 45, võib selle käitumise korral tekitada kirje 45.0.0.0/8, ja nii haarab üks avalik aadress terve A-klassi vahemiku.

Atribuudi nimi kutsub vale lugemise juurde: väärtuseks true seadmine lülitab tuletamise välja ja false lülitab selle sisse. See ei ole ka sama objekt kui vaikemarsruut ega juhi kolmandate osapoolte kliente, kes paigaldavad oma prefiksid.

Kui tuletamine on tõestatud põhjus, parandage profiil selle haldusomaniku kaudu ja esitage kavandatud privaatsed prefiksid selgesõnaliselt. Kui skript lisas kirje, parandage skript. Ühe seletamata laia marsruudi asendamine teisega muudab sümptomit, vastamata küsimusele.

Parandage allikas ja kontrollige siis mõlemat teed uuesti

Pärast muudatust ühenduge uuesti ja korrake otsingut nurjuva avaliku saidi jaoks ja ressursi jaoks, mis peab tunnelit kasutama. Esimene peaks nüüd lahenduma füüsilisele liidesele ja teine peaks endiselt VPN-i valima. Ärge lõpetage esimese õnnestumise juures; parandus, mis rikub ka privaatse juurdepääsu, on vahetanud ühe rikke teise vastu.

Vaadake samal ajal üle serveri aadressiplaan. Avaliku ruumiga kattuv kogum põhjustab seda tüüpi probleemi ikka ja jälle. Operaatori meelega valitud vahemik väärib teistsugust vestlust, mitte automaatset ümbernummerdamist.

MTU suurendamine või DNS-i tühjendamine ei paranda prefiksit, mis suunab selle aadressi endiselt tunnelisse. Testige esmalt valikut, seejärel teed.