Ինչու Windows-ի VPN երթուղիների աղյուսակը ցույց է տալիս 0.0.0.0/1 և 128.0.0.0/1

Միացե՛ք Windows-ի VPN-ին և բացե՛ք երթուղիների աղյուսակը. աչքի են ընկնում երկու գրառում՝ 0.0.0.0/1 և 128.0.0.0/1։ Դրանք տպագրական սխալ չեն և չեն փոխարինում լռելյայն երթուղուն։ Դրանց հայտնվելը կախված է պրոֆիլի մեկ ընտրանքից, և այդ զույգը լրիվ թունել կառուցելու եղանակն է, ոչ թե բաժանված թունելի հատկություն։ Մեկ տող անգամ փոխելուց առաջ ընտրանքը, նախածանցը և ինտերֆեյսը միասին կարդացե՛ք։

Ինչ է տեղադրում լռելյայն դարպասի ընտրանքը

Պրոֆիլի այն ընտրանքը, որը ամեն ինչ ուղարկում է թունելով, աշխատում է՝ ավելացնելով այդ երկու նախածանցերը։ Հանե՛ք ընտրանքը, և դրանք անհետանում են՝ թողնելով երթուղի, որը ծածկում է միայն թունելի ադապտերին տրված ենթացանցը։ Նշատուփը կառավարում է զույգը. այն չի վերագրում միակ լռելյայն երթուղին։ Այդ պատճառով նշումը հանելուց հետո աղյուսակը մասնակի վերագրություն է հիշեցնում, ոչ թե ջնջում։

0.0.0.0/1-ը ծածկում է IPv4 տարածության ստորին կեսը, իսկ 128.0.0.0/1-ը՝ վերին կեսը, ուստի միասին նրանք ծածկում են բոլոր unicast հասցեները։ Յուրաքանչյուրը ավելի կոնկրետ է, քան 0.0.0.0/0 լռելյայնը, այսինքն՝ ամենաերկար նախածանցի համընկնումը սովորական թրաֆիկն ուղարկում է թունել, մինչդեռ ֆիզիկական լռելյայն երթուղին մնում է տեղում։ Այդ լռելյայնը պահելը կոսմետիկա չէ. գաղտնագրված բեռը փաթաթող փաթեթները հասցեագրված են սերվերի հանրային հասցեին և պետք է դուրս գան ֆիզիկական ադապտերով։ Փոխարինե՛ք լռելյայնը՝ այն բաժանելու փոխարեն, և թունելի սեփական տրանսպորտը կփորձի մտնել թունել, ինչը օղակ է, ոչ թե միացում։

Ուստի արժե կանգ առնել VPN ադապտերին ուղղված բառացի 0.0.0.0/0-ի վրա։ Ներկառուցված հաճախորդը սովորաբար այդպիսին չի գրում, ուստի ձեռքով արված երթուղին կամ այլ հաճախորդի կարգավորումը ձեր թիկունքում փոխել է աղյուսակը։ Գտե՛ք այն նախքան ներքևում որևէ բան վրիպազերծելը։

Ապամոնտաժումն ավելի էժան է, քան դարպասը պահելը

Ապամոնտաժումը գործնական փաստարկ է մեկի փոխարեն երկու գրառումների օգտին։ Միացված ժամանակ հաճախորդն ունի ուղիղ երկու երթուղի և ջնջում է դրանք անջատվելիս՝ թողնելով այն, ինչ ֆիզիկական ադապտերն այդ պահին ունի։ Այն հաճախորդը, որը փոխարիներ միակ լռելյայնը, պետք է հիշեր նախորդ դարպասը, և DHCP վարձակալության փոփոխությունից հետո կարող էր վերականգնել մի դարպաս, որն այլևս գոյություն չունի։ Երկու սեփական գրառում նման վիճակ չեն կրում։

Այլ հաճախորդներ հանգում են նույն նախագծին։ redirect-gateway def1-ով OpenVPN պրոֆիլը տեղադրում է այդ երկու նախածանցերը՝ լռելյայնը ջնջելու փոխարեն, և Windows հաճախորդը հետևում է նույն օրինաչափությանը՝ նույն երթուղային պատճառով։

Այդ պատճառով էլ աղյուսակը կարող է լրիվ թունել թվալ, երբ բաժանում էիք սպասում։ Զույգը լրիվ թունելի կառուցման եղանակն է, ոչ թե բաժանված թունելի սխալի ապացույց։ Եթե պրոֆիլը դրված է հեռավոր դարպասն օգտագործելու, ամեն ինչ երթուղվում է, ինչ էլ որ տեղական մի հավելված դեռ հասնի։

Ամենաերկար նախածանցը հաղթում է ցանկացած մետրիկից առաջ

Նախածանցի երկարությունը որոշում է որոնումը ցանկացած այլ դաշտից առաջ։ Մետրիկը միայն լուծում է հավասարությունը նույն նախածանցով երթուղիների միջև, ուստի /1 գրառումը հաղթում է /0 լռելյայնին նույնիսկ ավելի վատ մետրիկի դեպքում։ Ինտերֆեյսին կապելը որոշում է, թե ինչ է մնում, երբ երկու երթուղի կիսում են նախածանցը, և Windows-ը պետք է ընտրի, թե որ ադապտերը կուղարկի փաթեթը։

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Բաժանված թունելի աղյուսակը պարունակում է ֆիզիկական լռելյայնը, երկու կիսալռելյայները, թունելի ենթացանցի երթուղին և ձեր ավելացրած ցանկացած գրասենյակային նախածանց։ Ֆիզիկական լռելյայնը կարող է լինել ավելի ցածր կամ բարձր մետրիկով՝ կախված հաճախորդից և պրոֆիլից, և քանի դեռ /1 զույգը կա, այդ տարբերությունը ոչինչ չի փոխում։ Այն ամեն ինչ փոխում է այն պահին, երբ զույգը հանվում է, և հենց այդ ժամանակ է ի հայտ գալիս հնացած դարպաս կամ սխալ ինտերֆեյս։ Կարդացե՛ք ամբողջ աղյուսակը, ոչ թե այն մեկ տողը, որը սպասում էիք փոխել։

Ընտրե՛ք մեկ սեփականատեր գրասենյակի նախածանցի համար

Բաժանված թունելի համար անվանե՛ք միայն այն նախածանցը, որը պետք է օգտագործի VPN-ը, և ընտրե՛ք այն տիրելու մեկ եղանակ։ Երթուղին նշանակված թունելի հասցեին ուղղելը աշխատում է այնքան ժամանակ, քանի դեռ այդ հասցեն չի փոխվել, մինչդեռ ինտերֆեյսին կապելը դիմանում է հասցեի փոփոխությանը, բայց կոտրվում է, երբ ինդեքսը նորից է նշանակվում պրոֆիլի վերակառուցումից հետո։ Պրոֆիլին կապված cmdlet-ը խուսափում է երկու խնդիրներից՝ պրոֆիլի անհրաժեշտության գնով։

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdlet-ը նախածանցը կապում է անվանված պրոֆիլին, ուստի երթուղին հայտնվում է կապակցման հետ և անհետանում դրա հետ, ինչը կառավարվող նոթբուքն է ուզում։ Մշտական երթուղին գոյատևում է վերագործարկումներից և գոյատևում է այն պրոֆիլից, որը դրդել է նրան, և այդպես է, որ թոշակի անցած VPN-ը տարիներով գրառումներ է թողնում։ Յուրաքանչյուր նախածանցի համար ընտրե՛ք մեկ մեթոդ և գրառե՛ք ընտրությունը, որովհետև մշտական երթուղին գումարած նույն նախածանցի պրոֆիլային երթուղին ստեղծում են կրկնօրինակներ, որոնք ապամոնտաժելիս ցավոտ է լուծել։ Ինչ էլ ընտրեք, սեփականությունը պետք է երևա տոմսում, ոչ միայն մեքենայում։

Սեփականությունը այն հարցն է, որին պատասխանում է այս բաժինը, ոչ շարահյուսությունը։ Մեկ նախածանցի համար երկու սեփականատեր՝ ահա այն ձախողման ձևը, որից արժե խուսափել։

Ստուգե՛ք նպատակակետով, ոչ կայքով

Փորձարկե՛ք այն նպատակակետը, որը պետք է անցնի թունելով, ոչ թե կայք, որը հայտնում է ելքի հասցե։ Find-NetRoute վերադարձնում է ընտրված երթուղին և աղբյուրի հասցեն, ուստի տեսնում եք՝ գրասենյակի նախածանցն է հաղթել, թե ֆիզիկական լռելյայնը, և ապա բացում եք հենց համօգտագործումը։

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Ելքի հասցե ցույց տվող կայքը թույլ ստուգում է, որովհետև DNS-ը, IPv6-ը և դիտարկիչի վստահված անձը կարող են այդ հարցումն ուղարկել տարբեր ճանապարհով։ IPv4-ը և IPv6-ը նույն երկխոսության մեջ ունեն նաև առանձին կարգավորումներ, և մեկ վանդակը մաքրելը մյուս ընտանիքը թողնում է անձեռնմխելի, ուստի կրկնակի կույտով մեքենան կարող է IPv6-ը տանել թունելով, մինչ IPv4-ը հետևում է բաժանված երթուղուն։ Ստուգե՛ք երկու ընտանիքներն էլ նախքան պրոֆիլը բաժանված անվանելը։ Եթե երթուղին ճիշտ է, և ծառայությունը դեռ ձախողվում է, մնացած շերտը զտումն է, ոչ երթուղավորումը։

Հաճախորդի կողմից կառավարվող հրապատը կարող է արգելափակել գրասենյակի ենթացանցը նույնիսկ կատարյալ երթուղիների աղյուսակի դեպքում։ Այդ քաղաքականությունը պատկանում է նրան, ով տարածել է պրոֆիլը, ոչ թե նրան, ով խմբագրում է երթուղիները։