რატომ აჩვენებს Windows VPN-ის მარშრუტების ცხრილი 0.0.0.0/1 და 128.0.0.0/1-ს

დაუკავშირდით Windows VPN-ს და გახსენით მარშრუტების ცხრილი, ორი ჩანაწერი თვალში გვხვდება: 0.0.0.0/1 და 128.0.0.0/1. ეს არ არის ბეჭდვითი შეცდომა და არ ცვლის ნაგულისხმევ მარშრუტს. მათი გამოჩენა დამოკიდებულია პროფილის ერთ პარამეტრზე, ხოლო წყვილი არის სრული გვირაბის აგების გზა და არა გაყოფილი გვირაბის ფუნქცია. სანამ ერთ ხაზს შეცვლით, პარამეტრი, პრეფიქსი და ინტერფეისი ერთად წაიკითხეთ.

რას აყენებს ნაგულისხმევი კარიბჭის პარამეტრი

პროფილის პარამეტრი, რომელიც ყველაფერს გვირაბში აგზავნის, მუშაობს ამ ორი პრეფიქსის დამატებით. მოხსენით პარამეტრი და ისინი გაქრება, დარჩება მარშრუტი, რომელიც ფარავს მხოლოდ გვირაბის ადაპტერისთვის მიცემულ ქვექსელს. მონიშვნის უჯრა წყვილს მართავს; ის ერთ ნაგულისხმევ მარშრუტს არ გადაწერს. ამიტომ ნიშნის მოხსნის შემდეგ ცხრილი ნაწილობრივ გადაწერას ჰგავს და არა წაშლას.

0.0.0.0/1 ფარავს IPv4 სივრცის ქვედა ნახევარს, ხოლო 128.0.0.0/1 ზედა ნახევარს, ამიტომ ერთად ისინი ყველა unicast მისამართს ფარავს. თითოეული უფრო კონკრეტულია, ვიდრე ნაგულისხმევი 0.0.0.0/0, რაც ნიშნავს, რომ ყველაზე გრძელი პრეფიქსის შესაბამისობა ჩვეულებრივ ტრაფიკს გვირაბში აგზავნის, ხოლო ფიზიკური ნაგულისხმევი მარშრუტი იქ რჩება, სადაც იყო. ამ ნაგულისხმევის შენარჩუნება კოსმეტიკა არ არის: დაშიფრული დატვირთვის შემომფარავი პაკეტები მიმართულია სერვერის საჯარო მისამართზე და უნდა გავიდეს ფიზიკური ადაპტერით. ნაგულისხმევის გაყოფის ნაცვლად ჩაანაცვლეთ ის და თავად გვირაბის ტრანსპორტი შეეცდება გვირაბში შესვლას, რაც კავშირი არ არის, არამედ მარყუჟია.

ამიტომ VPN ადაპტერისკენ მიმართული პირდაპირი 0.0.0.0/0 შემთხვევაში ღირს გაჩერება. მშობლიური კლიენტი ჩვეულებრივ ასეთს არ წერს, ასე რომ ხელით შექმნილმა მარშრუტმა ან სხვა კლიენტის კონფიგურაციამ ცხრილი თქვენს ზურგს უკან შეცვალა. იპოვეთ ის, სანამ ქვემოთ რაიმეს გამართავთ.

დაშლა იაფია, ვიდრე კარიბჭის შენახვა

ერთის ნაცვლად ორი ჩანაწერის სასარგებლოდ პრაქტიკული არგუმენტი დაშლაა. კლიენტს დაკავშირების დროს ზუსტად ორი მარშრუტი აქვს და გათიშვისას შლის მათ, ტოვებს იმას, რაც ფიზიკურ ადაპტერს იმ მომენტში აქვს. კლიენტს, რომელსაც ერთადერთი ნაგულისხმევი შეეცვალა, წინა კარიბჭის დამახსოვრება მოუწევდა და DHCP იჯარის შეცვლის შემდეგ შეიძლებოდა აღედგინა ის, რაც აღარ არსებობს. ორი საკუთარი ჩანაწერი ასეთ მდგომარეობას არ ატარებს.

სხვა კლიენტებიც იმავე დიზაინამდე მიდიან. redirect-gateway def1-ის მქონე OpenVPN პროფილი ამ ორ პრეფიქსს აყენებს ნაგულისხმევის წაშლის ნაცვლად, ხოლო Windows კლიენტი იმავე მარშრუტიზაციის მიზეზით იმავე ნიმუშს მიჰყვება.

ამიტომაც შეიძლება ცხრილი სრულ გვირაბად გამოიყურებოდეს, როცა გაყოფას ელოდით. წყვილი სრული გვირაბის აგების გზაა და არა გაყოფილი გვირაბის შეცდომის მტკიცებულება. თუ პროფილი დაყენებულია დისტანციური კარიბჭის გამოყენებაზე, ყველაფერი მარშრუტიზდება, რასაც ერთი ლოკალური აპლიკაცია მაინც მიაღწევს.

ყველაზე გრძელი პრეფიქსი იმარჯვებს ნებისმიერ მეტრიკამდე

პრეფიქსის სიგრძე განსაზღვრავს ძიებას ნებისმიერ სხვა ველამდე. მეტრიკა მხოლოდ იდენტური პრეფიქსის მქონე მარშრუტებს შორის ფრეს არღვევს, ამიტომ /1 ჩანაწერი ამარცხებს /0 ნაგულისხმევს მაშინაც, როცა მისი მეტრიკა უარესია. ინტერფეისზე მიბმა განსაზღვრავს, რა რჩება, როცა ორი მარშრუტი იზიარებს პრეფიქსს და Windows-მა უნდა აირჩიოს, რომელი ადაპტერი გაგზავნის პაკეტს.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

გაყოფილი გვირაბის ცხრილი შეიცავს ფიზიკურ ნაგულისხმევს, ორ ნახევარ-ნაგულისხმევს, გვირაბის ქვექსელის მარშრუტს და თქვენ მიერ დამატებულ ნებისმიერ ოფისის პრეფიქსს. ფიზიკური ნაგულისხმევი შეიძლება იყოს დაბალ ან მაღალ მეტრიკაზე კლიენტისა და პროფილის მიხედვით, და სანამ /1 წყვილი არსებობს, ეს განსხვავება არაფერს ცვლის. ის ყველაფერს ცვლის იმ მომენტში, როცა წყვილი მოიხსნება, და სწორედ მაშინ ჩნდება მოძველებული კარიბჭე ან არასწორი ინტერფეისი. წაიკითხეთ მთელი ცხრილი და არა ის ერთი ხაზი, რომლის შეცვლასაც ელოდით.

აირჩიეთ ერთი მფლობელი ოფისის პრეფიქსისთვის

გაყოფილი გვირაბისთვის დაასახელეთ მხოლოდ ის პრეფიქსი, რომელმაც VPN უნდა გამოიყენოს, და აირჩიეთ მისი ფლობის ერთი გზა. მარშრუტის მიმართვა მინიჭებულ გვირაბის მისამართზე მუშაობს მანამ, სანამ ეს მისამართი შეიცვლება, ხოლო ინტერფეისზე მიბმა მისამართის ცვლას გადაურჩება, მაგრამ ტყდება, როცა ინდექსი პროფილის ხელახალი აგების შემდეგ ხელახლა მიენიჭება. პროფილზე მიბმული cmdlet ორივე პრობლემას აირიდებს, პროფილის საჭიროების ფასად.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

cmdlet პრეფიქსს ასახელებს პროფილზე აბამს, ამიტომ მარშრუტი კავშირთან ერთად ჩნდება და მასთან ერთად ქრება, რაც მართული ლეპტოპს სჭირდება. მუდმივი მარშრუტი გადაურჩება გადატვირთვებს და გადაურჩება იმ პროფილსაც, რომელმაც ის გამოიწვია, და ასე ტოვებს პენსიაზე გასული VPN ჩანაწერებს წლების განმავლობაში. თითო პრეფიქსზე აირჩიეთ ერთი მეთოდი და ჩაიწერეთ არჩევანი, რადგან მუდმივი მარშრუტი პლუს პროფილის მარშრუტი ერთი და იმავე პრეფიქსისთვის ქმნის დუბლიკატებს, რომელთა გარჩევა დაშლის დროს მტკივნეულია. რასაც აირჩევთ, მფლობელობა უნდა ჩანდეს ბილეთში და არა მხოლოდ მანქანაზე.

მფლობელობა არის კითხვა, რომელსაც ეს ნაწილი პასუხობს და არა სინტაქსი. ორი მფლობელი ერთი პრეფიქსისთვის არის მარცხის ის რეჟიმი, რომლის თავიდან აცილებაც ღირს.

გადაამოწმეთ დანიშნულებით და არა ვებსაიტით

შეამოწმეთ დანიშნულება, რომელმაც გვირაბი უნდა გადაკვეთოს და არა ვებსაიტი, რომელიც გასასვლელ მისამართს აცხადებს. Find-NetRoute აბრუნებს არჩეულ მარშრუტს და წყაროს მისამართს, ასე რომ ხედავთ, ოფისის პრეფიქსმა იმარჯვა თუ ფიზიკურმა ნაგულისხმევმა, და შემდეგ თავად გაზიარებას ხსნით.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

გასასვლელი მისამართის საიტი სუსტი შემოწმებაა, რადგან DNS-ს, IPv6-ს და ბრაუზერის პროქსის თითოეულს შეუძლია ეს მოთხოვნა სხვა გზით გაგზავნოს. IPv4-სა და IPv6-ს ერთსა და იმავე დიალოგში ცალკე პარამეტრებიც აქვთ, და ერთი უჯრის გასუფთავება მეორე ოჯახს ხელუხლებლად ტოვებს, ამიტომ ორმაგი სტეკის მანქანას შეუძლია IPv6 გვირაბით გადაიტანოს, სანამ IPv4 გაყოფილ მარშრუტს მიჰყვება. პროფილს გაყოფილს სანამ უწოდებთ, ორივე ოჯახი შეამოწმეთ. თუ მარშრუტი სწორია და სერვისი მაინც ვერ მუშაობს, დარჩენილი ფენა ფილტრაციაა და არა მარშრუტიზაცია.

კლიენტის მიერ მართული ფაილვოლი შეიძლება დაბლოკოს ოფისის ქვექსელი სრულყოფილი მარშრუტების ცხრილის დროსაც. ეს პოლიტიკა ეკუთვნის მას, ვინც პროფილი გაავრცელა და არა მას, ვინც მარშრუტებს არედაქტირებს.