Mengapa tabel rute VPN Windows Anda menampilkan 0.0.0.0/1 dan 128.0.0.0/1

Hubungkan ke VPN Windows dan buka tabel rute, dan dua entri menonjol: 0.0.0.0/1 dan 128.0.0.0/1. Keduanya bukan salah ketik dan tidak menggantikan rute default. Muncul atau tidaknya bergantung pada satu opsi profil, dan pasangan ini adalah cara membangun terowongan penuh, bukan fitur split tunnel. Baca opsi, prefiks, dan antarmuka bersama-sama sebelum mengubah satu baris pun.

Apa yang dipasang opsi gateway default

Opsi profil yang mengirim semuanya melalui terowongan bekerja dengan menambahkan kedua prefiks itu. Hapus opsi dan keduanya hilang, menyisakan rute yang hanya mencakup subnet yang diberikan ke adaptor terowongan. Kotak centang mengendalikan pasangan itu; kotak itu tidak menulis ulang satu-satunya rute default. Karena itulah tabel setelah centang dihapus tampak seperti penulisan ulang sebagian, bukan penghapusan.

0.0.0.0/1 mencakup separuh bawah ruang IPv4 dan 128.0.0.0/1 separuh atas, jadi bersama-sama keduanya mencakup setiap alamat unicast. Masing-masing lebih spesifik daripada rute default 0.0.0.0/0, yang berarti pencocokan prefiks terpanjang mengirim lalu lintas biasa ke terowongan sementara rute default fisik tetap di tempatnya. Mempertahankan default itu bukan kosmetik: paket yang membungkus muatan terenkripsi dialamatkan ke alamat publik server dan harus keluar melalui adaptor fisik. Ganti rute default alih-alih membaginya, dan transportasi terowongan itu sendiri akan mencoba masuk ke terowongan, yang merupakan pengulangan dan bukan koneksi.

Karena itu 0.0.0.0/0 literal yang menunjuk ke adaptor VPN patut dihentikan. Klien bawaan biasanya tidak menulis begitu, jadi rute manual atau konfigurasi klien lain telah mengubah tabel di belakang Anda. Temukan sebelum men-debug apa pun di bawahnya.

Pembongkaran lebih murah daripada menyimpan gateway

Pembongkaran adalah argumen praktis untuk dua entri daripada satu. Klien memiliki tepat dua rute saat terhubung dan menghapusnya saat terputus, menyisakan apa yang dipegang adaptor fisik pada saat itu. Klien yang telah mengganti satu-satunya default harus mengingat gateway sebelumnya, dan setelah perubahan sewa DHCP ia bisa memulihkan gateway yang sudah tidak ada. Dua entri milik sendiri tidak membawa keadaan seperti itu.

Klien lain mencapai desain yang sama. Profil OpenVPN dengan redirect-gateway def1 memasang kedua prefiks itu alih-alih menghapus default, dan klien Windows mengikuti pola itu karena alasan perutean yang sama.

Itu juga sebabnya tabel bisa tampak seperti terowongan penuh padahal Anda mengharapkan pemisahan. Pasangan itu adalah cara terowongan penuh dibangun, bukan bukti kesalahan split tunnel. Jika profil diatur untuk memakai gateway jarak jauh, semuanya dirutekan, apa pun yang masih bisa dijangkau satu aplikasi lokal.

Prefiks terpanjang menang sebelum metrik apa pun

Panjang prefiks menentukan pencarian sebelum bidang lain. Metrik hanya memecah seri antara rute dengan prefiks identik, jadi entri /1 mengalahkan default /0 bahkan ketika metriknya lebih buruk. Pengikatan antarmuka menentukan apa yang tersisa ketika dua rute berbagi prefiks dan Windows harus memilih adaptor mana yang mengirim paket.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Tabel split tunnel memuat default fisik, dua setengah-default, rute subnet terowongan, dan prefiks kantor apa pun yang Anda tambahkan. Default fisik bisa berada pada metrik lebih rendah atau lebih tinggi tergantung klien dan profil, dan selama pasangan /1 ada perbedaan itu tidak mengubah apa pun. Itu mengubah segalanya saat pasangan dilepas, dan saat itulah gateway usang atau antarmuka yang salah muncul. Baca seluruh tabel, bukan satu baris yang Anda harapkan berubah.

Pilih satu pemilik untuk prefiks kantor

Untuk split tunnel, sebutkan hanya prefiks yang harus memakai VPN, dan pilih satu cara memilikinya. Mengarahkan rute ke alamat terowongan yang ditetapkan berfungsi sampai alamat itu berubah, sedangkan pengikatan ke antarmuka bertahan dari perubahan alamat tetapi rusak ketika indeks ditetapkan ulang setelah profil dibangun kembali. Cmdlet yang terikat profil menghindari kedua masalah, dengan biaya membutuhkan profil.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdlet mengikat prefiks ke profil bernama, sehingga rute muncul bersama koneksi dan pergi bersamanya, yang diinginkan laptop terkelola. Rute persisten bertahan dari reboot dan bertahan dari profil yang memicunya, dan begitulah VPN yang dipensiunkan meninggalkan entri selama bertahun-tahun. Pilih satu metode per prefiks dan catat pilihannya, karena rute persisten plus rute profil untuk prefiks yang sama menghasilkan duplikat yang menyakitkan untuk diurai saat pembongkaran. Apa pun yang Anda pilih, kepemilikan harus terlihat di tiket, bukan hanya di mesin.

Kepemilikan adalah pertanyaan yang dijawab bagian ini, bukan sintaksis. Dua pemilik untuk satu prefiks adalah mode kegagalan yang layak dihindari.

Verifikasi dengan tujuan, bukan situs web

Uji tujuan yang harus melintasi terowongan, bukan situs web yang melaporkan alamat keluar. Find-NetRoute mengembalikan rute yang dipilih dan alamat sumber, sehingga Anda bisa melihat apakah prefiks kantor atau default fisik yang menang, lalu buka berbagi itu sendiri.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Situs alamat keluar adalah pemeriksaan lemah, karena DNS, IPv6, dan proksi peramban masing-masing dapat mengirim permintaan itu melalui jalur berbeda. IPv4 dan IPv6 juga punya pengaturan terpisah di dialog yang sama, dan menghapus satu kotak membiarkan keluarga lain tidak tersentuh, sehingga mesin tumpukan ganda bisa membawa IPv6 melalui terowongan sementara IPv4 mengikuti rute split. Periksa kedua keluarga sebelum menyebut profil itu split. Jika rutenya benar dan layanan tetap gagal, lapisan yang tersisa adalah penyaringan, bukan perutean.

Firewall yang dikelola klien dapat memblokir subnet kantor meski tabel rute sempurna. Kebijakan itu milik pihak yang mendorong profil, bukan orang yang menyunting rute.