Windows VPN маршрут кестесінде 0.0.0.0/1 және 128.0.0.0/1 неге көрінеді

Әдепкі шлюз опциясы бір емес, екі жарты әдепкі маршрут қосады. Клиентте маршрут қосу немесе жою алдында префиксті, метриканы және интерфейсті оқыңыз.

Windows VPN-ге қосылып, маршрут кестесін ашыңыз, екі жазба көзге түседі: 0.0.0.0/1 және 128.0.0.0/1. Олар теріп қатесі емес және әдепкі маршрутты алмастырмайды. Олардың пайда болуы бір профиль опциясына байланысты, ал бұл жұп толық туннель құру тәсілі, бөлінген туннель мүмкіндігі емес. Бір жолды өзгертуден бұрын опцияны, префиксті және интерфейсті бірге оқыңыз.

Әдепкі шлюз опциясы нені орнатады

Барлығын туннель арқылы жіберетін профиль опциясы осы екі префиксті қосу арқылы жұмыс істейді. Опцияны алып тастасаңыз, олар жоғалады да, тек туннель адаптеріне берілген ішкі желіні қамтитын маршрут қалады. Құсбелгі жұпты басқарады; ол жалғыз әдепкі маршрутты қайта жазбайды. Сондықтан белгіні алып тастағаннан кейін кесте жою емес, ішінара қайта жазу сияқты көрінеді.

0.0.0.0/1 IPv4 кеңістігінің төменгі жартысын, 128.0.0.0/1 жоғарғы жартысын қамтиды, сондықтан бірге олар барлық unicast мекенжайын қамтиды. Әрқайсысы 0.0.0.0/0 әдепкісінен нақтырақ, яғни ең ұзын префикс сәйкестігі қарапайым трафикті туннельге жібереді, ал физикалық әдепкі маршрут орнында қалады. Ол әдепкіні сақтау сән үшін емес: шифрланған жүкті қаптайтын пакеттер сервердің жария мекенжайына адрестелген және физикалық адаптерден шығуы керек. Әдепкіні бөлудің орнына оны ауыстырсаңыз, туннельдің өз көлігі туннельге кіруге тырысады, бұл байланыс емес, цикл.

Сондықтан VPN адаптеріне бағытталған тура мағынадағы 0.0.0.0/0 кездессе, тоқтап қараған жөн. Жергілікті клиент әдетте оны жазбайды, демек қолмен жасалған маршрут немесе басқа клиенттің конфигурациясы кестені сіздің артыңызда өзгерткен. Төмендегі кез келген нәрсені жөндеуден бұрын оны табыңыз.

Шлюзді сақтағаннан гөрі бөлшектеу арзанырақ

Бір емес, екі жазбаның пайдасына практикалық дәлел — бөлшектеу. Клиент қосылған кезде дәл екі маршрутқа ие және ажыратылғанда оларды жояды, сол сәтте физикалық адаптерде бар нәрсені қалдырады. Жалғыз әдепкіні ауыстырған клиент бұрынғы шлюзді есте сақтауы керек еді, ал DHCP жалдауы өзгергеннен кейін енді жоқ шлюзді қалпына келтіруі мүмкін еді. Екі меншікті жазба мұндай күйді тасымайды.

Басқа клиенттер де осы дизайнға келеді. redirect-gateway def1 бар OpenVPN профилі әдепкіні жоюдың орнына осы екі префиксті орнатады, ал Windows клиенті дәл сол маршруттау себебімен осы үлгіні ұстанады.

Сондықтан бөлуді күткенде кесте толық туннель сияқты көрінуі мүмкін. Жұп — толық туннельдің құрылу тәсілі, бөлінген туннель қатесінің дәлелі емес. Егер профиль алыс шлюзді пайдалануға қойылса, бір жергілікті қолданба неге жетсе де, бәрі маршрутталады.

Ең ұзын префикс кез келген метрикадан бұрын жеңеді

Префикс ұзындығы кез келген басқа өрістен бұрын іздеуді шешеді. Метрика тек бірдей префиксті маршруттар арасындағы теңдікті бұзады, сондықтан /1 жазбасы метрикасы нашар болса да /0 әдепкісін жеңеді. Интерфейске байлау екі маршрут бір префиксті бөліскенде және Windows пакетті қай адаптер жіберетінін таңдауы керек кезде ненің қалатынын шешеді.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Бөлінген туннель кестесінде физикалық әдепкі, екі жарты әдепкі, туннельдің ішкі желісінің маршруты және сіз қосқан кез келген кеңсе префиксі болады. Физикалық әдепкі клиент пен профильге қарай төмен немесе жоғары метрикада болуы мүмкін, ал /1 жұбы бар кезде бұл айырмашылық ештеңені өзгертпейді. Жұп алынған сәтте ол бәрін өзгертеді, сол кезде ескірген шлюз немесе дұрыс емес интерфейс бетке шығады. Өзгертемін деп күткен бір жолды емес, бүкіл кестені оқыңыз.

Кеңсе префиксіне бір иесін таңдаңыз

Бөлінген туннель үшін тек VPN пайдалануы керек префиксті атаңыз және оны иеленудің бір әдісін таңдаңыз. Маршрутты тағайындалған туннель мекенжайына бағыттау сол мекенжай өзгергенше жұмыс істейді, ал интерфейске байлау мекенжай өзгерісінен аман қалады, бірақ профиль қайта құрылғаннан кейін индекстер қайта тағайындалғанда бұзылады. Профильге байланған cmdlet екі мәселені де болдырмайды, бірақ профиль қажет болады.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

cmdlet префиксті аталған профильге байлайды, сондықтан маршрут қосылыммен бірге пайда болады және онымен бірге кетеді, басқарылатын ноутбук дәл осыны қалайды. Тұрақты маршрут қайта жүктеулерден де, оны тудырған профильден де асып түседі, осылайша қызметтен шығарылған VPN жылдар бойы жазбалар қалдырады. Әр префикс үшін бір әдіс таңдап, таңдауды жазып қойыңыз, өйткені бір префикс үшін тұрақты маршрут және профильдік маршрут бірге бөлшектеу кезінде шешу қиын қайталаулар тудырады. Қайсысын таңдасаңыз да, иелік тек машинада емес, тикетте де көрінуі керек.

Иелік — бұл бөлім жауап беретін сұрақ, синтаксис емес. Бір префикске екі ие — болдырмауға тұрарлық ақау үлгісі.

Веб-сайтпен емес, мақсатпен тексеріңіз

Туннельден өтуі керек мақсатты тексеріңіз, шығу мекенжайын хабарлайтын веб-сайтты емес. Find-NetRoute таңдалған маршрут пен бастапқы мекенжайды қайтарады, сондықтан кеңсе префиксі ме, әлде физикалық әдепкі ме жеңгенін көресіз, содан кейін ресурстың өзін ашасыз.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Шығу мекенжайының сайты әлсіз тексеру, өйткені DNS, IPv6 және браузер проксиі сол сұранысты әрқайсысы басқа жолмен жібере алады. IPv4 пен IPv6 бір диалогта бөлек параметрлерге де ие, бір құсбелгіні тазалау екінші отбасын тимей қалдырады, сондықтан қос стекті машина IPv4 бөлінген маршрутты ұстанып жатқанда IPv6-ны туннель арқылы алып жүре алады. Профильді бөлінген деп атамас бұрын екі отбасын да тексеріңіз. Маршрут дұрыс болса да қызмет әлі істемесе, қалған қабат — маршруттау емес, сүзу.

Клиент басқаратын брандмауэр мінсіз маршрут кестесімен де кеңсенің ішкі желісін блоктай алады. Бұл саясат профильді таратқан адамдікі, маршруттарды өңдейтін адамдікі емес.

Қатысты мақалалар