چرا جدول مسیرهای VPN ویندوز شما 0.0.0.0/1 و 128.0.0.0/1 را نشان می‌دهد

به یک VPN ویندوز وصل شوید و جدول مسیرها را باز کنید، دو ورودی جلب توجه می‌کنند: 0.0.0.0/1 و 128.0.0.0/1. این‌ها اشتباه تایپی نیستند و مسیر پیش‌فرض را جایگزین نمی‌کنند. اینکه ظاهر شوند به یک گزینه پروفایل بستگی دارد، و این جفت همان روشی است که یک تونل کامل ساخته می‌شود، نه ویژگی تونل تقسیم‌شده. پیش از تغییر حتی یک خط، گزینه، پیشوند و رابط را با هم بخوانید.

گزینه دروازه پیش‌فرض چه چیزی نصب می‌کند

گزینه پروفایلی که همه چیز را از تونل می‌فرستد با افزودن آن دو پیشوند کار می‌کند. گزینه را بردارید و ناپدید می‌شوند و مسیری باقی می‌ماند که فقط زیرشبکه‌ای را که به آداپتور تونل داده شده پوشش می‌دهد. کادر انتخاب جفت را کنترل می‌کند؛ مسیر پیش‌فرض واحد را بازنویسی نمی‌کند. به همین دلیل جدول پس از برداشتن تیک مانند یک بازنویسی جزئی به نظر می‌رسد، نه حذف.

0.0.0.0/1 نیمه پایین فضای IPv4 و 128.0.0.0/1 نیمه بالا را پوشش می‌دهد، بنابراین با هم هر نشانی یونیکست را پوشش می‌دهند. هر یک از مسیر پیش‌فرض 0.0.0.0/0 مشخص‌تر است، یعنی تطبیق بلندترین پیشوند ترافیک عادی را به تونل می‌فرستد، در حالی که مسیر پیش‌فرض فیزیکی همان‌جا که بود می‌ماند. نگه داشتن آن پیش‌فرض ظاهرسازی نیست: بسته‌هایی که بار رمزنگاری‌شده را می‌پیچند به نشانی عمومی سرور نشانه رفته‌اند و باید از آداپتور فیزیکی خارج شوند. اگر پیش‌فرض را به جای تقسیم، جایگزین کنید، انتقال خود تونل تلاش می‌کند وارد تونل شود، و این یک حلقه است نه یک اتصال.

بنابراین یک 0.0.0.0/0 تحت‌اللفظی که به آداپتور VPN اشاره می‌کند ارزش توقف دارد. کلاینت بومی معمولاً چنین چیزی نمی‌نویسد، پس یک مسیر دستی یا پیکربندی کلاینت دیگری جدول را پشت سر شما تغییر داده است. پیش از عیب‌یابی هر چیز پایین‌تر، آن را پیدا کنید.

برچیدن ارزان‌تر از نگه داشتن یک دروازه است

برچیدن استدلال عملی برای دو ورودی به جای یکی است. کلاینت تا زمانی که متصل است دقیقاً دو مسیر دارد و هنگام قطع اتصال آن‌ها را حذف می‌کند و آنچه آداپتور فیزیکی در آن لحظه دارد باقی می‌ماند. کلاینتی که مسیر پیش‌فرض واحد را جایگزین کرده بود باید دروازه قبلی را به یاد می‌آورد، و پس از تغییر اجاره DHCP ممکن بود یکی را بازگرداند که دیگر وجود ندارد. دو ورودی متعلق به خود چنین حالتی را حمل نمی‌کنند.

کلاینت‌های دیگر به همان طراحی می‌رسند. یک پروفایل OpenVPN با redirect-gateway def1 آن دو پیشوند را نصب می‌کند به جای حذف پیش‌فرض، و کلاینت ویندوز به همان دلیل مسیریابی از این الگو پیروی می‌کند.

به همین دلیل هم جدول ممکن است وقتی انتظار تقسیم داشتید شبیه تونل کامل به نظر برسد. این جفت روش ساخت تونل کامل است، نه مدرکی بر خطای تونل تقسیم‌شده. اگر پروفایل روی استفاده از دروازه راه دور تنظیم شده باشد، همه چیز مسیریابی می‌شود، هرچه یک برنامه محلی هنوز بتواند به آن برسد.

بلندترین پیشوند پیش از هر متریکی برنده می‌شود

طول پیشوند جستجو را پیش از هر فیلد دیگری تعیین می‌کند. متریک فقط تساوی بین مسیرهایی با پیشوند یکسان را می‌شکند، بنابراین یک ورودی /1 حتی وقتی متریکش بدتر است بر پیش‌فرض /0 پیروز می‌شود. اتصال به رابط تعیین می‌کند وقتی دو مسیر یک پیشوند را شریک‌اند و ویندوز باید انتخاب کند کدام آداپتور بسته را بفرستد چه می‌ماند.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

جدول تونل تقسیم‌شده پیش‌فرض فیزیکی، دو نیمه‌پیش‌فرض، مسیر زیرشبکه تونل و هر پیشوند دفتری که افزوده‌اید را در خود دارد. پیش‌فرض فیزیکی بسته به کلاینت و پروفایل ممکن است متریک پایین‌تر یا بالاتری داشته باشد، و تا وقتی جفت /1 وجود دارد آن تفاوت چیزی را تغییر نمی‌دهد. در لحظه‌ای که جفت برداشته شود همه چیز تغییر می‌کند، همان‌وقت است که دروازه کهنه یا رابط اشتباه ظاهر می‌شود. کل جدول را بخوانید، نه آن یک خطی را که انتظار داشتید تغییر کند.

برای پیشوند دفتر یک مالک انتخاب کنید

برای تونل تقسیم‌شده فقط پیشوندی را نام ببرید که باید از VPN استفاده کند، و یک روش برای مالکیت آن انتخاب کنید. اشاره دادن مسیر به نشانی تونل تخصیص‌یافته تا وقتی آن نشانی تغییر کند کار می‌کند، در حالی که بستن به رابط از تغییر نشانی جان سالم به در می‌برد اما وقتی شاخص پس از بازسازی پروفایل دوباره تخصیص یابد می‌شکند. cmdlet متصل به پروفایل از هر دو مشکل دوری می‌کند، به قیمت نیاز به پروفایل.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

cmdlet پیشوند را به پروفایل نام‌برده می‌بندد، بنابراین مسیر با اتصال ظاهر می‌شود و با آن می‌رود، که لپ‌تاپ مدیریت‌شده می‌خواهد. مسیر پایدار از راه‌اندازی‌های مجدد و از پروفایلی که آن را ایجاد کرد جان سالم به در می‌برد، و این‌گونه یک VPN بازنشسته سال‌ها ورودی‌ها را پشت سر می‌گذارد. برای هر پیشوند یک روش انتخاب کنید و انتخاب را ثبت کنید، چون یک مسیر پایدار به‌همراه یک مسیر پروفایل برای همان پیشوند تکراری‌هایی می‌سازد که بازکردنشان هنگام برچیدن دردناک است. هر کدام را انتخاب کنید، مالکیت باید در تیکت دیده شود نه فقط روی دستگاه.

مالکیت پرسشی است که این بخش پاسخ می‌دهد، نه نحو. دو مالک برای یک پیشوند الگوی شکستی است که ارزش پرهیز دارد.

با یک مقصد تأیید کنید، نه با یک وب‌سایت

مقصدی را آزمایش کنید که باید از تونل عبور کند، نه وب‌سایتی که نشانی خروج گزارش می‌کند. Find-NetRoute مسیر انتخاب‌شده و نشانی مبدأ را برمی‌گرداند، بنابراین می‌بینید پیشوند دفتر برنده شده یا پیش‌فرض فیزیکی، و سپس خود اشتراک را باز می‌کنید.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

وب‌سایت نشانی خروج بررسی ضعیفی است، چون DNS، IPv6 و یک پروکسی مرورگر هر کدام می‌توانند آن درخواست را از مسیری متفاوت بفرستند. IPv4 و IPv6 در همان گفت‌وگو تنظیمات جداگانه هم دارند، و خالی کردن یک کادر خانواده دیگر را دست‌نخورده می‌گذارد، بنابراین یک دستگاه دوپشته می‌تواند IPv6 را از تونل ببرد در حالی که IPv4 مسیر تقسیم را دنبال می‌کند. پیش از آنکه پروفایل را تقسیم‌شده بنامید هر دو خانواده را بررسی کنید. اگر مسیر درست است و سرویس هنوز شکست می‌خورد، لایه باقی‌مانده فیلترکردن است نه مسیریابی.

یک فایروال مدیریت‌شده توسط کلاینت می‌تواند زیرشبکه دفتر را با وجود جدول مسیرهای بی‌عیب مسدود کند. آن سیاست متعلق به کسی است که پروفایل را توزیع کرده، نه کسی که مسیرها را ویرایش می‌کند.