Miksi Windows-VPN:n reititystaulusi näyttää 0.0.0.0/1 ja 128.0.0.0/1

Yhdistä Windows-VPN:ään ja avaa reititystaulu, ja kaksi merkintää erottuu: 0.0.0.0/1 ja 128.0.0.0/1. Ne eivät ole kirjoitusvirhe eivätkä korvaa oletusreittiä. Niiden näkyminen riippuu yhdestä profiiliasetuksesta, ja pari on tapa, jolla täysi tunneli rakennetaan, ei split-tunnelin ominaisuus. Lue asetus, etuliite ja käyttöliittymä yhdessä ennen kuin muutat yhtäkään riviä.

Mitä oletusyhdyskäytävä-asetus asentaa

Profiiliasetus, joka lähettää kaiken tunnelin läpi, toimii lisäämällä ne kaksi etuliitettä. Poista asetus, niin ne katoavat ja jäljelle jää reitti, joka kattaa vain tunnelisovittimelle annetun aliverkon. Valintaruutu ohjaa paria; se ei kirjoita uudelleen yhtä oletusreittiä. Siksi taulu näyttää valinnan poistamisen jälkeen osittaiselta uudelleenkirjoitukselta eikä poistolta.

0.0.0.0/1 kattaa IPv4-avaruuden alaosan ja 128.0.0.0/1 yläosan, joten yhdessä ne kattavat kaikki unicast-osoitteet. Kumpikin on tarkempi kuin oletusreitti 0.0.0.0/0, mikä tarkoittaa, että pisimmän etuliitteen sovitus lähettää tavallisen liikenteen tunneliin, kun taas fyysinen oletusreitti pysyy paikallaan. Tämän oletusreitin säilyttäminen ei ole kosmeettista: salatun hyötykuorman käärelevät paketit on osoitettu palvelimen julkiseen osoitteeseen ja niiden on poistuttava fyysisen sovittimen kautta. Korvaa oletusreitti sen jakamisen sijaan, niin tunnelin oma kuljetus yrittää päästä tunneliin, mikä on silmukka eikä yhteys.

Siksi VPN-sovittimeen osoittava kirjaimellinen 0.0.0.0/0 on pysähtymisen arvoinen. Alkuperäinen asiakasohjelma ei yleensä kirjoita sellaista, joten manuaalinen reitti tai toisen asiakasohjelman kokoonpano on muuttanut taulua selkäsi takana. Löydä se ennen kuin alat selvittää mitään alempana.

Purku on halvempaa kuin yhdyskäytävän säästäminen

Purku on käytännön argumentti kahden merkinnän puolesta yhden sijaan. Asiakasohjelmalla on yhteyden aikana täsmälleen kaksi reittiä, ja se poistaa ne katkaisussa jättäen sen, mitä fyysisellä sovittimella sillä hetkellä on. Asiakasohjelma, joka olisi korvannut ainoan oletusreitin, joutuisi muistamaan edellisen yhdyskäytävän, ja DHCP-vuokrasopimuksen vaihduttua se voisi palauttaa sellaisen, jota ei enää ole. Kaksi omistettua merkintää ei kanna sellaista tilaa.

Muut asiakasohjelmat päätyvät samaan rakenteeseen. OpenVPN-profiili, jossa on redirect-gateway def1, asentaa ne kaksi etuliitettä sen sijaan, että poistaisi oletusreitin, ja Windows-asiakasohjelma noudattaa samaa mallia samasta reitityssyystä.

Siksi taulu voi näyttää täydeltä tunnelilta, kun odotit jakoa. Pari on tapa, jolla täysi tunneli rakennetaan, ei todiste split-tunnelin virheestä. Jos profiili on asetettu käyttämään etäyhdyskäytävää, kaikki reititetään, mitä ikinä yksi paikallinen sovellus vielä saavuttaa.

Pisin etuliite voittaa ennen mitään metriikkaa

Etuliitteen pituus ratkaisee haun ennen mitä tahansa muuta kenttää. Metriikka rikkoo tasapelin vain saman etuliitteen omaavien reittien välillä, joten /1-merkintä voittaa /0-oletusreitin, vaikka sen metriikka olisi huonompi. Käyttöliittymään sitominen ratkaisee, mitä jää jäljelle, kun kaksi reittiä jakaa etuliitteen ja Windowsin on valittava, mikä sovitin lähettää paketti.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Split-tunnelin taulu sisältää fyysisen oletusreitin, kaksi puoliolettusreittiä, tunnelin aliverkon reitin ja kaikki lisäämäsi toimistojen etuliitteet. Fyysinen oletusreitti voi olla matalammalla tai korkeammalla metriikalla asiakasohjelmasta ja profiilista riippuen, ja niin kauan kuin /1-pari on olemassa, se ero ei muuta mitään. Se muuttaa kaiken hetkellä, jolloin pari poistetaan, ja silloin vanhentunut yhdyskäytävä tai väärä käyttöliittymä paljastuu. Lue koko taulu, älä sitä yhtä riviä, jonka odotit muuttuvan.

Valitse toimiston etuliitteelle yksi omistaja

Jaa split-tunnelia varten nimeä vain etuliite, jonka on käytettävä VPN:ää, ja valitse yksi tapa omistaa se. Reitin osoittaminen määritettyyn tunneliosoitteeseen toimii, kunnes osoite muuttuu, kun taas käyttöliittymään sitominen kestää osoitteen muutoksen mutta rikkoutuu, kun indeksi annetaan uudelleen profiilin uudelleenrakennuksen jälkeen. Profiiliin sidottu cmdlet välttää molemmat ongelmat, mutta vaatii profiilin.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdlet sitoo etuliitteen nimettyyn profiiliin, joten reitti ilmestyy yhteyden mukana ja lähtee sen mukana, mitä hallittu kannettava haluaa. Pysyvä reitti kestää uudelleenkäynnistykset ja kestää profiilin, joka sen aiheutti, ja niin käytöstä poistettu VPN jättää merkintöjä vuosiksi. Valitse yksi menetelmä etuliitettä kohden ja kirjaa valinta, koska pysyvä reitti plus profiilireitti samalle etuliitteelle tuottaa duplikaatteja, jotka on purun aikana tuskallista selvittää. Minkä tahansa valitsetkin, omistajuuden pitäisi näkyä tiketissä eikä vain koneella.

Omistajuus on kysymys, johon tämä osio vastaa, ei syntaksi. Kaksi omistajaa yhdelle etuliitteelle on vikaantumismalli, joka kannattaa välttää.

Varmista kohdeosoitteella, älä verkkosivustolla

Testaa kohde, jonka on ylitettävä tunneli, älä verkkosivustoa, joka raportoi lähtöosoitteen. Find-NetRoute palauttaa valitun reitin ja lähdeosoitteen, joten näet, voittiko toimiston etuliite vai fyysinen oletusreitti, ja sitten avaat itse jaon.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Lähtöosoitesivusto on heikko tarkistus, koska DNS, IPv6 ja selaimen välityspalvelin voivat kukin lähettää pyynnön eri reittiä. IPv4:llä ja IPv6:lla on samassa valintaikkunassa myös erilliset asetukset, ja yhden ruudun tyhjentäminen jättää toisen perheen koskemattomaksi, joten kaksoispinon kone voi kuljettaa IPv6:n tunnelin läpi, kun IPv4 seuraa jaettua reittiä. Tarkista molemmat perheet ennen kuin kutsut profiilia jaetuksi. Jos reitti on oikein ja palvelu epäonnistuu silti, jäljellä oleva kerros on suodatus eikä reititys.

Asiakasohjelman hallitsema palomuuri voi estää toimiston aliverkon täydellisestä reititystaulusta huolimatta. Se käytäntö kuuluu profiilin jakaneelle, ei reittejä muokkaavalle.