Windows VPN маршрут таблицасында 0.0.0.0/1 жана 128.0.0.0/1 эмнеге көрүнөт

Windows VPN'ине туташып, маршруттар таблицасын ачыңыз, эки жазуу көзгө урунат: 0.0.0.0/1 жана 128.0.0.0/1. Алар терүү катасы эмес жана демейки маршрутту алмаштырбайт. Алардын көрүнүшү бир профиль опциясына байланыштуу, ал эми бул жуп толук туннелди куруу жолу, бөлүнгөн туннель функциясы эмес. Бир сапты өзгөртүүдөн мурун опцияны, префиксти жана интерфейсти чогуу окуңуз.

Демейки шлюз опциясы эмнени орнотот

Баарын туннел аркылуу жөнөткөн профиль опциясы ушул эки префиксти кошуу менен иштейт. Опцияны алып салсаңыз, алар жоголот, туннель адаптерине берилген ички тармакты гана камтыган маршрут калат. Белги кутуча жупту башкарат; ал жалгыз демейки маршрутту кайра жазбайт. Ошондуктан белгини алгандан кийин таблица өчүрүү эмес, жарым-жартылай кайра жазуудай көрүнөт.

0.0.0.0/1 IPv4 мейкиндигинин төмөнкү жарымын, 128.0.0.0/1 жогорку жарымын камтыйт, ошондуктан чогуу алар бардык unicast дарегин камтыйт. Ар бири 0.0.0.0/0 демейкиден такыраак, башкача айтканда эң узун префикс дал келүү кадимки трафикти туннелге жөнөтөт, физикалык демейки маршрут ордунда калат. Ошол демейкини сактоо кооздук эмес: шифрленген жүктү ороп турган пакеттер сервердин ачык дарегине адрестелген жана физикалык адаптерден чыгышы керек. Демейкини бөлүүнүн ордуна алмаштырсаңыз, туннелдин өз транспорту туннелге кирүүгө аракет кылат, бул байланыш эмес, цикл.

Ошондуктан VPN адаптерине багытталган сөзмө-сөз 0.0.0.0/0 кездешсе, токтоп кароого татыктуу. Жергиликтүү клиент адатта андай жазбайт, демек кол менен жасалган маршрут же башка клиенттин конфигурациясы таблицаны сиздин артыңызда өзгөрткөн. Төмөндөгүнүн баарын оңдоодон мурун аны табыңыз.

Шлюзду сактоодон бөлүп-жароо арзаныраак

Бир эмес, эки жазуунун пайдасына практикалык далил — бөлүп-жароо. Клиент туташканда так эки маршрутка ээ жана ажыраганда аларды жок кылат, ошол учурда физикалык адаптерде бар нерсени калтырат. Жалгыз демейкини алмаштырган клиент мурунку шлюзду эстеши керек эле, ал эми DHCP жалдоосу өзгөргөндөн кийин мындан ары жок шлюзду калыбына келтириши мүмкүн эле. Эки өздүк жазуу мындай абалды алып жүрбөйт.

Башка клиенттер да ушул долбоорго келишет. redirect-gateway def1 бар OpenVPN профили демейкини өчүрүүнүн ордуна ушул эки префиксти орнотот, ал эми Windows клиенти ушундай эле маршруттоо себеби менен ушул үлгүнү карманат.

Ошондуктан бөлүүнү күткөндө таблица толук туннель сыяктуу көрүнүшү мүмкүн. Жуп — толук туннелдин курулуш жолу, бөлүнгөн туннелдин катасынын далили эмес. Эгер профиль алыскы шлюзду колдонууга коюлса, бир жергиликтүү колдонмо эмнеге жетсе да, баары маршрутталат.

Эң узун префикс кандайдыр бир метрикадан мурун жеңет

Префикстин узундугу башка кандайдыр бир талаадан мурун издөөнү чечет. Метрика бирдей префикстүү маршруттардын ортосундагы теңдикти гана бузат, ошондуктан /1 жазуусу метрикасы начар болсо да /0 демейкисин жеңет. Интерфейске байлоо эки маршрут бир префиксти бөлүшкөндө жана Windows пакетти кайсы адаптер жөнөтөөрүн тандашы керек болгондо эмне каларын чечет.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Бөлүнгөн туннелдин таблицасында физикалык демейки, эки жарым демейки, туннелдин ички тармагынын маршруту жана сиз кошкон ар кандай кеңсе префикси болот. Физикалык демейки клиентке жана профилге жараша төмөн же жогору метрикада болушу мүмкүн, ал эми /1 жубу бар кезде бул айырма эч нерсени өзгөртпөйт. Жуп алынган учурда ал баарын өзгөртөт, ошол кезде эскирген шлюз же туура эмес интерфейс бетке чыгат. Өзгөртөм деп күткөн бир сапты эмес, бүт таблицаны окуңуз.

Кеңсе префиксине бир ээсин тандаңыз

Бөлүнгөн туннель үчүн VPN колдонушу керек болгон префиксти гана атаңыз жана ага ээ болуунун бир жолун тандаңыз. Маршрутту дайындалган туннель дарегине багыттоо ошол дарек өзгөргөнгө чейин иштейт, ал эми интерфейске байлоо даректин өзгөрүшүнө чыдайт, бирок профиль кайра курулгандан кийин индекстер кайра дайындалганда бузулат. Профилге байланган cmdlet эки көйгөйдү тең четтетет, бирок профиль керек болот.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

cmdlet префиксти аталган профилге байлайт, ошондуктан маршрут туташуу менен бирге пайда болот жана аны менен кетет, башкарылуучу ноутбук ушунү каалайт. Туруктуу маршрут кайра жүктөөлөрдөн да, аны пайда кылган профилден да ашып өтөт, ушундайча кызматтан чыгарылган VPN жылдар бою жазууларды калтырат. Ар бир префикс үчүн бир ыкма тандап, тандоону жазып коюңуз, анткени бир префикс үчүн туруктуу маршрут жана профилдик маршрут чогуу бөлүп-жароодо чечүү кыйын болгон кайталоолорду жаратат. Эмнени тандасаңыз да, ээлик машинада гана эмес, билетте да көрүнүшү керек.

Ээлик — бул бөлүм жооп берген суроо, синтаксис эмес. Бир префикске эки ээ — андан качууга татыктуу ийгиликсиздик үлгүсү.

Веб-сайт менен эмес, максат менен текшериңиз

Туннелден өтүшү керек болгон максатты текшериңиз, чыгуу дарегин билдирген веб-сайтты эмес. Find-NetRoute тандалган маршрутту жана булак дарегин кайтарат, ошондуктан кеңсе префикси жеңдиби же физикалык демейкиби көрөсүз, анан бөлүшүүнүн өзүн ачасыз.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Чыгуу дарегинин сайты алсыз текшерүү, анткени DNS, IPv6 жана браузер проксиси ошол сурамды ар бири башка жол менен жөнөтө алат. IPv4 менен IPv6 бир эле диалогдо өзүнчө жөндөөлөргө да ээ, бир кутучаны тазалоо экинчи үй-бүлөнү тийбеген бойдон калтырат, ошондуктан кош стектүү машина IPv4 бөлүнгөн маршрутту кармап жатканда IPv6ны туннел аркылуу алып жүрө алат. Профилди бөлүнгөн деп атоодон мурун эки үй-бүлөнү тең текшериңиз. Маршрут туура болсо да кызмат иштебесе, калган катмар — маршруттоо эмес, чыпкалоо.

Кардар башкарган брандмауэр эң жакшы маршрут таблицасында да кеңсенин ички тармагын бөгөттөй алат. Бул саясат профилди тараткан адамга таандык, маршруттарды оңдогон адамга эмес.