Hvers vegna eitt undirnet fer enn fram hjá sjálfgefinni VPN-leiðinni þinni

Þú skiptir VPN-inu í full göng, mestur umferð hlýðir, og svo svarar eitt vistfang beint — prentari, NAS, stökkvahýsill á 10.x. Augljós lestur er að göngin leki, svo þú lækkar mælikvarða sjálfgefnu leiðarinnar og ekkert breytist. Þessi misheppnaða tilraun er vísbendingin: sjálfgefin leið er varaleið, ekki dómur. Leiðarleitin tekur lengsta samsvarandi forskeytið áður en hún ber saman mælikvarða yfirleitt, svo /24 heldur áfram að vinna gegn /0 sama hvaða tölu þú festir á hvort um sig. Þegar þessi röð er skýr er lekið venjulega leið sem einhver setti upp viljandi, eða forskeyti sem biðlarinn ætlaði aldrei að ná yfir.

Hvað sjálfgefin leið lofar í raun

0.0.0.0/0 passar við hvert IPv4-áfangastað með núll bitum sérhæfni. Hún er til svo hýsill geti náð öllu sem taflan hans lýsir ekki betur. Leið að 192.168.1.0/24 ber 24 samsvarandi bita, svo fyrir 192.168.1.40 vinnur hún áður en nokkur ber saman mælikvarða, stjórnsýslufjarlægð eða hvað sem biðlarinn kallar forgangssviðið sitt. Sama regla gildir í Linux FIB, leiðatöflu Windows og BSD-stakkanum bak við macOS.

Á venjulegu LAN er þessi hegðun eiginleiki. Staðbundið undirnet er tengt beint, prentarinn heldur áfram að virka á meðan göngin bera vafrið þitt, og ekkert er rangt stillt. Spurningin sem er þess virði að spyrja er ekki hvers vegna þetta eina vistfang fer beint, heldur hvaða forskeyti í hvaða töflu passar við það, og hver setti það þar.

Hálf-sjálfgefnar leiðir, eða hvers vegna sjálfgefna færslan getur litið ósnortin út

Skýrasta dæmið er redirect-gateway def1 í OpenVPN. Í stað þess að eyða sjálfgefnu leiðinni þinni og skipta henni út bætir það við 0.0.0.0/1 og 128.0.0.0/1. Saman nær parið yfir allt IPv4, hvert forskeyti er lengra en /0, og bæði vinna sjálfgefnu leið beinisins á meðan hún er látin vera. Keyrðu leiðaskrá eftir það og upprunalega sjálfgefna leiðin er enn þar, vísar enn á gáttina þína; hún er einfaldlega aldrei valin fyrir internetáfangastaði.

wg-quick WireGuard nær sömu niðurstöðu með stefnutengdri leiðsögn. Þegar AllowedIPs nær yfir 0.0.0.0/0 býr það til sina eigin töflu, sendir merktar pakkana þangað og bætir við reglu sem hunsar núlllengdar forskeyti aðaltöflunnar. Aðaltaflan heldur sjálfgefinni færslu sinni, og reglurnar ákveða að göngutaflan sé spurð fyrst fyrir umferðina sem viðmótið á.

Báðar hönnunin þurfa nákvæmlega eina leið utan gönganna: hýsil-leið að eigin vistfangi VPN-þjónsins í gegnum upprunalegu gáttina. Án hennar myndi biðlarinn reyna að bera pakkana sem byggja göngin inni í göngunum, og tengingin klárast aldrei. Þess vegna er leið sem er ekki gönguleið í töflunni þinni eðlileg jafnvel á ströngum fullgönguprófíl. Leiðirnar sem eru þess virði að efast um eru þær sem ná yfir áfangastaði sem þér er raunverulega annt um.

Mælikvarðar ákveða jafntefli, forskeyti ákveða sigurvegara

Mælikvarðar eru aðeins bornir saman meðal umsækjenda sem passa við áfangastaðinn jafn vel. Á Linux ip route get 10.20.5.9 prentar sigurvegarann ásamt töflunni sinni, og ip route show table all listar umsækjendurna, þar á meðal hvers kyns hálf-sjálfgefnar leiðir og hvaða töflu sem regla vísar á. Á Windows Find-NetRoute -RemoteIPAddress 10.20.5.9 skilar valinni leið og upprunavistfangi, en Get-NetRoute sýnir hráu töfluna — en raunkostnaðurinn er leiðarmælikvarði að viðbættum viðmótsmælikvarða, svo hægur millistykki getur tapað jafntefli sem virðist vinna.

Þrjú tilvik ná yfir mest af því sem þú munt sjá:

• Sami áfangastaður, /24 gegn /0: /24 vinnur á forskeytislengd, hvað sem mælikvarðarnir segja.
• Sami áfangastaður, tvö /24 með mismunandi mælikvörðum: lægri raunmælikvarðinn vinnur.
• Sami áfangastaður, tvær töflur, ein valin af stefnureglu: reglan velur töfluna fyrst, og forskeytasamanburður fer fram inni í henni.

Þriðja tilvikið er þar sem flestar þessara skýrslna enda. Linux ip rule eða Windows VPN-umferðarsía getur sent umferð í töflu sem aldrei hélt sjálfgefnu göngunum, og aðaltaflan lítur fullkomin út allan tímann.

Hver á venjulega framhjáhlaupið

Byrjaðu á prófílnum, ekki töflunni. Split-tunnel stillingar og VPN-stillingar fyrir hvert forrit skilja nefnd forskeyti viljandi utan gönganna; vinnuprófíll sem verndar eitt einkarett undirnet og lætur almennan vafra fara beint hagar sér eins og hann var hannaður, og að hunsa hann brýtur stefnuna sem hann átti að framfylgja. Leiðsögn Microsoft um VPN-leiðsögn dregur sömu línuna milli þvingaðrar gönguumferðar og skýrra undantekninga, sem gerir hana að gagnlegri krossprófun áður en þú breytir nokkru.

Leitaðu næst að afgangum. Leið sem vísar á viðmót sem er ekki lengur til, eða á vistfang frá fyrra neti, birtist eftir að tengistöðvar, USB-millistykki og gámabrýr koma og fara. Að eyða henni einu sinni er ekki endirinn: NetworkManager-tengingarprófílar, netplan-skrár og varanlegar Windows-leiðir setja hana upp aftur við næstu tengingu eða ræsingu, svo finndu skrána eða prófílinn sem á hana áður en þú breytir nokkru.

Athugaðu svo IPv6 sérstaklega. ip -6 route og Get-NetRoute -AddressFamily IPv6 halda aðskildu ástandi, aðskildum sjálfgefnum leiðum og aðskilinni biðlarahegðun. Endurskoðun sem aðeins nær til IPv4 segir ekkert um tvískiptan hýsil sem kýs hljóðlega innfædda IPv6-leið, og það eitt getur látið biðlara líta út eins og split-tunnel.

Staðfestu með eigin flæði forritsins

Skráðu áfangastaðinn sem forritið notar í raun, spurðu svo kerfið að leiðinni sem það myndi fara frá upprunavistfanginu sem forritið bindur sig við. ip route get 10.20.5.9 from 192.168.1.40 svarar því á Linux; Find-NetRoute -RemoteIPAddress 10.20.5.9 ásamt staðbundnu vistfanginu gerir það á Windows. Berðu niðurstöðuna saman við það sem prófíllinn fullyrðir. Opinber IP-síða vafra prófar einn áfangastað á einni samskiptareglu og segir ekkert um einkavistfangið sem hóf kvörtunina.

Lagaðu minnsta hlutinn sem útskýrir muninn. Ef undantekningin er samþykkt skaltu skrifa forskeytið niður og láta það vera; ef ekki, fjarlægðu leiðina eða bættu við skýrri þrengri leið í gegnum göngin í stað þess að lækka mælikvarða sjálfgefnu leiðarinnar. Að lækka mælikvarða getur ekki farið fram úr lengra forskeyti, og að breyta sjálfgefnu leiðinni á meðan tvær /1-leiðir eiga internetleiðina breytir heldur engu.

Tengdu síðan göngin aftur og endurtaktu sömu fyrirspurn. Biðlarar setja leiðir upp aftur við hverja tengingu, svo breyting sem endist aðeins til næsta handabands hefur ekki verið prófuð. Ef leiðin víkur enn er grunurinn sem eftir er stefnuregla, önnur tafla eða sía á biðlarahlið — ekki sjálfgefna leiðin.

• Nefndu áfangastaðinn og upprunavistfangið sem forritið notar í raun.
• Prentaðu sigurvegandi leiðina með ip route get eða Find-NetRoute.
• Athugaðu hvort /1 par eða stefnutöflun eigi internetleiðina.
• Listaðu hvert forskeyti sem er lengra en /0 og passar við áfangastaðinn.
• Endurtaktu IPv6-athugunina sérstaklega.
• Rekjaðu leiðina sem lifir aftur til skrárinnar, prófílsins eða síunnar sem setur hana upp.
• Tengdu aftur og keyrðu fyrirspurnina aftur áður en þú kallar þetta lagað.

Ef allar sjö eru sammála prófílnum gera göngin nákvæmlega það sem þau voru stillt til að gera, og lagfæringin tilheyrir prófílnum frekar en mælikvarða.