Miksi laaja VPN-reitti rikkoo muutaman julkisen sivuston

Useimmat sivut latautuvat, kaksi tai kolme aikakatkaistaan ja selain syyttää yhteyttä. Epäonnistuvilla sivustoilla on jotain yhteistä, mitä toimivilla ei ole: niiden selvitetyt osoitteet osuvat etuliitteeseen, jonka VPN asensi. Riittävän laaja reitti kattaa julkisen alueen ja nappaa liikennettä, jota tunnelin ei koskaan pitänyt kuljettaa, ja oire näyttää sivuston ongelmalta reitityspäätöksen sijaan.

Selvitä epäonnistuva nimi ja katso sitten reititystaulukkoa, älä selainta.

Vertaa osoitetta, älä sivuston nimeä

Etsi osoite, jota asiakas todella yritti, ja tarkista sitten, mikä reitti vastaa sitä. Kohde osoitteen 45.61.20.10 sisällä kuuluu etuliitteeseen 45.0.0.0/8, jos se on läsnä, vaikka sivustolla itsellään ei olisi mitään tekemistä tunnelin kanssa. Epäonnistuvan osoitteen vertaaminen asennettuihin etuliitteisiin on vähennyslasku, ei arvaus.

Windows voi vastata molempiin puoliin suoraan, ja haku näyttää, mikä käyttöliittymä ja seuraava hyppy voittivat valinnan. Selvitä nimi kahdesti, jos sivusto palauttaa useita osoitteita. Kirjaa jokainen ylös sitä vastaavan reitin kanssa. Erilaiset osoitteet voivat antaa erilaisia vastauksia, ja vain yksi niistä saattaa olla epäonnistuva tapaus.

Resolve-DnsName www.example.org
Get-NetRoute -AddressFamily IPv4 | Select-Object DestinationPrefix,InterfaceIndex,NextHop,RouteMetric
Find-NetRoute -RemoteIPAddress 45.61.20.10
Get-VpnConnection | Format-List Name,SplitTunneling,Routes

Lue tarkin vastaava etuliite, älä ensimmäistä tuttua riviä. Taulukossa oleva reitti ei todista, että se voitti haun; sen tekee pisin osuma. Kaksi etuliitettä voi osua yhteen osoitteeseen, ja vain yksi niistä vastaanottaa paketin. Häviäjä jää taulukkoon ja näyttää luettelossa yhtä todelliselta.

Kirjoita ylös etuliite, sen käyttöliittymä ja selvitetty osoite. Nämä kolme arvoa ovat koko diagnoosi.

Selvitä, kuka asensi reitin

Reitit tulevat neljästä paikasta: alkuperäisestä VPN-profiilista, hallintakäytännöstä, yhteyskomentosarjasta tai täysin toisesta asiakkaasta. Elävän merkinnän poistaminen voi vahvistaa sen merkityksen, mutta seuraava yhteys luo sen uudelleen tallennetusta kokoonpanosta, joten lähde on se, mitä on muutettava.

Tarkista ensin profiilin reittiluettelo, sitten hallintakäytäntö, sitten mikä tahansa yhdistettäessä ajettava komentosarja. Tämä järjestys vastaa sitä, kuinka usein kukin osoittautuu vastuulliseksi. Se pitää muutoksen myös yhdessä kerroksessa kolmen sijaan.

Lue alkuperäinen luokkapohjainen käyttäytyminen huolellisesti

Alkuperäisissä Windows-profiileissa on dokumentoitu asetus NativeProfile/DisableClassBasedDefaultRoute, joka ohjaa käyttöliittymän osoitteesta johdettua automaattista reittiä. Numerolla 45 alkava profiilin osoite voi tämän käyttäytymisen vallitessa tuottaa merkinnän 45.0.0.0/8, ja niin yksi julkinen osoite nappaa kokonaisen A-luokan alueen.

Ominaisuuden nimi houkuttelee väärään lukutapaan: arvoksi true asetettuna se poistaa johdon käytöstä ja false ottaa sen käyttöön. Se ei myöskään ole sama objekti kuin oletusreitti, eikä se ohjaa kolmannen osapuolen asiakkaita, jotka asentavat omat etuliitteensä.

Jos johto on todistettu syy, korjaa profiili sen hallintaoikeuden omistajan kautta ja anna aiotut yksityiset etuliitteet nimenomaisesti. Jos komentosarja lisäsi merkinnän, korjaa komentosarja. Yhden selittämättömän laajan reitin korvaaminen toisella muuttaa oiretta vastaamatta kysymykseen.

Korjaa lähde ja tarkista sitten molemmat polut uudelleen

Yhdistä muutoksen jälkeen uudelleen ja toista haku epäonnistuvalle julkiselle sivustolle ja resurssille, jonka on käytettävä tunnelia. Ensimmäisen pitäisi nyt selvitä fyysiseen käyttöliittymään, ja toisen pitäisi yhä valita VPN. Älä pysähdy ensimmäiseen onnistumiseen; korjaus, joka rikkoo myös yksityisen pääsyn, on vaihtanut yhden vian toiseen.

Tarkista samalla palvelimen osoitesuunnitelma. Julkisen avaruuden kanssa päällekkäinen pooli aiheuttaa tämän ongelman yhä uudelleen. Operaattorin tarkoituksella valitsema alue ansaitsee toisenlaisen keskustelun, ei automaattista uudelleennumerointia.

MTU:n nostaminen tai DNS:n tyhjentäminen ei korjaa etuliitettä, joka yhä ohjaa osoitteen tunneliin. Testaa ensin valinta ja sitten polku.