Wêrom jo Windows-VPN-rûtetabel 0.0.0.0/1 en 128.0.0.0/1 toant

De standertgateway-opsje foeget twa healstandertrûtes ta, net ien. Lês it foarheaksel, de metryk en de ynterface foardat jo in rûte op de klant tafoegje of fuorthelje.

Meitsje ferbining mei in Windows-VPN en iepenje de rûtetabel, en twa ynfieringen falle op: 0.0.0.0/1 en 128.0.0.0/1. Se binne gjin typflater en se ferfange net de standertrûte. Oft se ferskine hinget fan ien profylopsje ôf, en it pear is de manier wêrop in folsleine tunnel boud wurdt, net in funksje fan in splitstunnel. Lês de opsje, it foarheaksel en de ynterface byinoar foardat jo ien rigel feroarje.

Wat de standertgateway-opsje ynstallearret

De profylopsje dy’t alles troch de tunnel stjoert, wurket troch dy twa foarheaksels ta te foegjen. Helje de opsje fuort en se ferdwine, en der bliuwt in rûte oer dy’t allinnich it subnet dekt dat oan de tunneladapter jûn is. It kontrôlefak beheart it pear; it skriuwt de iene standertrûte net oer. Dêrom liket de tabel nei it útchecken op in dielferoaring ynstee fan in ferwidering.

0.0.0.0/1 dekt de ûnderste helte fan de IPv4-romte en 128.0.0.0/1 de boppeste helte, dus tegearre dekke se elk unicast-adres. Elk is spesifiker as in standertrûte 0.0.0.0/0, wat betsjut dat it oerienkommen fan it langste foarheaksel gewoane ferkear de tunnel yn stjoert, wylst de fysike standertrûte bliuwt wêr’t er wie. Dy standert behâlden is net kosmetysk: de pakketten dy’t de fersifere lading ynpakje, binne adressearre oan it iepenbiere adres fan de tsjinner en moatte troch de fysike adapter nei bûten. Ferfang de standert ynstee fan him te splitsen, en it ferfier fan de tunnel sels sil besykje de tunnel yn te gean, wat in lus is en gjin ferbining.

Dêrom is in letterlike 0.0.0.0/0 dy’t nei de VPN-adapter wiist it wurdich om by stil te stean. De native klant skriuwt dat normaal net, dus in hânmjittige rûte of de konfiguraasje fan in oare klant hat de tabel efter jo rêch feroare. Fyn it foardat jo wat dan ek fierder nei ûnderen ferbetterje.

Ofbrekken is goedkeaper as in gateway bewarje

Ofbrekken is it praktyske argumint foar twa ynfieringen ynstee fan ien. De klant besit krekt twa rûtes wylst er ferbûn is en smyt se fuort by it ôfbrekken, en lit efter wat de fysike adapter op dat stuit hat. In klant dy’t de iene standertrûte ferfongen hie, soe de foarige gateway ûnthâlde moatte, en nei in feroaring fan de DHCP-liening koe er ien werombringe dy’t net mear bestiet. Twa eigene ynfieringen drage sokke tastân net.

Oare klanten komme ta itselde ûntwerp. In OpenVPN-profyl mei redirect-gateway def1 ynstallearret dy twa foarheaksels ynstee fan de standert te wiskjen, en de Windows-klant folget itselde patroan om deselde rûte-reden.

Dêrom kin in tabel der as in folsleine tunnel útsjen as jo in splitsing ferwachten. It pear is de manier wêrop de folsleine tunnel boud wurdt, gjin bewiis fan in flater by in splitstunnel. As it profyl ynsteld is om de fiere gateway te brûken, wurdt alles rûte, wat ien lokale applikaasje ek noch berikt.

It langste foarheaksel wint foar elke metryk

De lingte fan it foarheaksel beslút de syktocht foar elk oar fjild. De metryk brekt allinnich gelykens tusken rûtes mei in identyk foarheaksel, dus in /1-ynfiering ferslacht in /0-standert sels as syn metryk minner is. It binen oan de ynterface beslút wat oerbliuwt as twa rûtes in foarheaksel diele en Windows kieze moat hokker adapter it pakket stjoert.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

In tabel fan in splitstunnel befettet de fysike standert, de twa healstanderts, de rûte foar it subnet fan de tunnel en elk kantoarfoarheaksel dat jo tafoege hawwe. De fysike standert kin op in legere of hegere metryk sitte ôfhinklik fan de klant en it profyl, en salang it /1-pear bestiet feroaret dat ferskil neat. It feroaret alles op it stuit dat it pear fuorthelle wurdt, en dan komt in ferâldere gateway of in ferkearde ynterface foar it ljocht. Lês de hiele tabel ynstee fan de iene rigel dy’t jo ferwachte te feroarjen.

Kies ien eigner foar it kantoarfoarheaksel

Foar in splitstunnel neam allinnich it foarheaksel dat de VPN brûke moat, en kies ien manier om it te besitten. De rûte nei it tawiisde tunneladres wize wurket oant dat adres feroaret, wylst binen oan de ynterface it adres oerlibbet mar brekt as de yndeks opnij tawiisd wurdt nei’t it profyl werboud is. It oan it profyl binende cmdlet foarkomt beide problemen, tsjin de priis dat it profyl nedich is.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

It cmdlet bynt it foarheaksel oan it neamde profyl, dus de rûte ferskynt mei de ferbining en giet der mei fuort, wat in beheard laptop wol. In permaninte rûte oerlibbet werstarts en oerlibbet it profyl dat him oanlate, en sa lit in bûten tsjinst stelde VPN jierrenlang ynfieringen efter. Kies ien metoade per foarheaksel en skriuw de kar op, want in permaninte rûte plus in profylrûte foar itselde foarheaksel meitsje dûbelingen dy’t by it ôfbrekken pynlik te ûnttwarren binne. Hokker jo ek kieze, it eignerskip moat yn it ticket sichtber wêze en net allinnich op de masine.

Eignerskip is de fraach dy’t dizze seksje beantwurdet, net syntaksis. Twa eigners foar ien foarheaksel is de flatermodus dy’t it wurdich is te foarkommen.

Ferifiearje mei in bestimming, net mei in webside

Test de bestimming dy’t de tunnel oerstekke moat, net in webside dy’t in útgeansadres rapportearret. Find-NetRoute jout de keazen rûte en it boarne-adres werom, sadat jo sjen kinne oft it kantoarfoarheaksel of de fysike standert wûn hat, en dan iepenje jo de dieling sels.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

In webside foar útgeansadres is in swakke kontrôle, want DNS, IPv6 en in browserproxy kinne dat fersyk elk oer in oare wei stjoere. IPv4 en IPv6 hawwe ek aparte ynstellingen yn deselde dialooch, en ien fakje leegmeitsje lit de oare famylje ûnoantaat, dus in masine mei dûbele stapel kin IPv6 troch de tunnel drage wylst IPv4 de splitrûte folget. Kontrolearje beide famyljes foardat jo it profyl split neame. As de rûte goed is en de tsjinst dochs mislearret, is de oerbleaune laach filterjen en net rûte.

In troch de klant beheard firewall kin it kantoarsubnet blokkearje mei in perfekte rûtetabel. Dat belied heart by wa’t it profyl útsmiten hat, net by wa’t rûtes bewurket.

Relatearre artikelen