Firwat eng Ënnerschicht nach ëmmer d'Standardroute vun Ärem VPN ëmgeet

Dir schalt d'VPN op vollstännegen Tunnel, de meeschten Traffic follegt, an dann äntwert eng Adress direkt — en Drécker, en NAS, e Spronghost op 10.x. Déi offensichtlech Liesung ass, datt den Tunnel leckt, also setzt Dir d'Metrik op der Standardroute erof an et ännert sech näischt. Dee gescheiterte Versuch ass de Hiweis: eng Standardroute ass e Fallback, keen Urteel. D'Routensich hëlt de längsten iwwereneestëmmende Préfix, ier se iwwerhaapt Metrike vergläicht, also /24 gewënnt weider géint /0, egal wéi eng Zuel Dir un eng vun deenen zwee hänkt. Wann déi Uerdnung kloer ass, ass d'Lach meeschtens eng Route, déi een absichtlech installéiert huet, oder e Préfix, deen de Client ni geduecht hat ofzedecken.

Wat eng Standardroute wierklech versprécht

0.0.0.0/0 passt op all IPv4-Zil mat null Bit Spezifizitéit. Se existéiert, fir datt en Host alles ereeche kann, wat seng Tabell net besser beschreift. Eng Route op 192.168.1.0/24 dréit 24 passend Bit, also fir 192.168.1.40 gewënnt se, ier een iwwerhaapt Metriken, administrativ Distanz oder wat de Client säin Prioritéitsfeld nennt vergläicht. Déi selwecht Regel gëllt an der Linux-FIB, der Windows-Routingtabell an dem BSD-Stack hannert macOS.

Op engem normale LAN ass dat Verhalen eng Funktioun. D'lokal Ënnerschicht ass direkt ugeschloss, den Drécker funktionéiert weider, während den Tunnel Äert Surfen dréit, an et ass näischt falsch konfiguréiert. D'Fro, déi et wäert ass ze stellen, ass net firwat déi eng Adress direkt geet, mä wéi ee Préfix an wéi enger Tabell dozou passt, a wien en dohi gesat huet.

Hallef-Standardrouten, oder firwat den Standardagang onberüürt ka schéngen

Dat propperst Beispill ass redirect-gateway def1 bei OpenVPN. Amplaz Äre Standard ze läschen an z'ersetzen, füügt et 0.0.0.0/1 an 128.0.0.0/1 derbäi. Zesumme deckt d'Paar ganz IPv4 of, all Préfix ass méi laang wéi /0, an alleb zwee schloe sech géint d'Standardroute vum Router, wärend se se op hirem Platz loossen. Maacht duerno eng Routenopstellung an déi original Standardroute ass nach do, weist nach op Äre Gateway; se gëtt just ni fir Internetziler ausgewielt.

De wg-quick vum WireGuard erreecht datselwecht Resultat iwwer richtlinnbaséiert Routing. Wann AllowedIPs 0.0.0.0/0 deckt, erstellt en seng eege Tabell, schéckt markéiert Paketen dohinner an füügt eng Regel derbäi, déi de Préfix mat Null Längt an der Haapttabell ignoréiert. D'Haapttabell hält hire Standardagang, an d'Regele bestëmmen, datt d'Tunneltabell fir den Traffic, deen d'Interface besëtzt, als éischt gefrot gëtt.

Béid Designen brauche genee eng Route ausserhalb vum Tunnel: eng Hostroute op d'Adress vum VPN-Server selwer iwwer de urspréngleche Gateway. Ouni déi géif de Client probéieren d'Paketen, déi den Tunnel bauen, bannent dem Tunnel ze droen, an d'Verbindung géif ni fäerdeg ginn. Eng Route, déi keen Tunnel ass, an Ärer Tabell ass dowéinst normal och op engem strikte Volltunnelprofil. D'Routen, déi et wäert sinn ze hannerfroen, sinn déi, déi Ziler ofdecken, déi Iech wierklech wichteg sinn.

Metrike entscheeden Gläichstand, Préfixen entscheeden Gewënner

Metrike ginn nëmmen tëscht Kandidaten verglach, déi gläich gutt op d'Zil passen. Op Linux ip route get 10.20.5.9 dréckt de Gewënner zesumme mat senger Tabell aus, an ip route show table all listet d'Kandidaten op, dorënner all Hallef-Standardrouten an all Tabell, op déi eng Regel weist. Op Windows Find-NetRoute -RemoteIPAddress 10.20.5.9 gëtt déi gewielten Route an d'Quelladress zréck, während Get-NetRoute d'ro Tabell weist — awer d'effektiv Käschte sinn d'Routemetrik plus d'Interfacemetrik, also kann en luesen Adapter en Gläichstand verléieren, deen en schéngt ze gewannen.

Dräi Fäll decken de gréissten Deel vun deem of, wat Dir wäert gesinn:

• Datselwecht Zil, /24 géint /0: /24 gewënnt op d'Längt vum Préfix, wat d'Metriken och soen.
• Datselwecht Zil, zwee /24 mat ënnerschiddleche Metriken: déi méi niddreg effektiv Metrik gewënnt.
• Datselwecht Zil, zwou Tabellen, eng duerch eng Richtlinn-Regel gewielt: d'Regel wielt d'Tabell als éischt, an de Préfixvergläich geschitt doranner.

Den drëtte Fall ass do, wou déi meescht vun dëse Berichter ophalen. Eng Linux ip rule oder e Windows-VPN-Trafficfilter kann Traffic an eng Tabell schécken, déi ni den Tunnelstandard gehal huet, an d'Haapttabell gesäit déi ganz Zäit perfekt aus.

Wien d'Ëmgoe meeschtens besëtzt

Fänkt mam Profil un, net mat der Tabell. Split-Tunnel-Konfiguratiounen a VPN-Astellungen pro App loossen ernannt Préfixen absichtlech ausserhalb vum Tunnel; e Aarbechtsprofil, deen eng privat Ënnerschicht schützt an dat allgemengt Surfen direkt goe léisst, verhält sech wéi et entworf gouf, an et z'iwwerschreiwen brécht d'Richtlinn, déi et sollt duerchsetzen. Dem Microsoft seng VPN-Routingleetfuedem zitt déiselwecht Linn tëscht erzwongenem Tunneltraffic an expliziten Ausnamen, wat en zu enger nëtzlecher Kräizkontroll mécht, ier Dir eppes ännert.

Sicht duerno no Iwwerreschter. Eng Route, déi op en Interface weist, deen et net méi gëtt, oder op eng Adress aus dem virege Netzwierk, daucht op, nodeems Dockingstatiounen, USB-Adapter an Containerbrécken kommen an goen. Se eemol läschen ass net d'Enn: NetworkManager-Verbindungsprofilen, netplan-Fichieren an déi permanent Windows-Routen installéieren se beim nächsten Uschloss oder Boot erëm, also fannt de Fichier oder de Profil, deen se besëtzt, ier Dir eppes ännert.

Kontrolléiert duerno IPv6 separat. ip -6 route an Get-NetRoute -AddressFamily IPv6 halen eenzelne Staat, eenzel Standardrouten an eenzelt Clientverhalen. Eng Prüfung nëmmen vun IPv4 seet näischt iwwer en Dual-Stack-Host, deen hallefstëll en native IPv6-Pad virzitt, an dat eleng ka maachen, datt e Client wéi Split-Tunnel ausgesäit.

Bestätegt mat dem eegene Floss vun der Applikatioun

Notéiert d'Zil, dat d'Applikatioun wierklech benotzt, a frot da vum System de Pad, deen se vun der Quelladress huelen géif, un déi déi Applikatioun sech bindet. ip route get 10.20.5.9 from 192.168.1.40 äntwert dat op Linux; Find-NetRoute -RemoteIPAddress 10.20.5.9 plus déi lokal Adress mécht dat op Windows. Vergläicht d'Resultat mat deem, wat de Profil behaapt. D'ëffentlech-IP-Säit vun engem Browser testt een Zil op engem Protokoll a seet näischt iwwer déi privat Adress, déi d'Plaint ugefaangen huet.

Reparéiert dat schmuelst Objet, dat den Ënnerscheed erkläert. Wann d'Ausnam genehmegt ass, schreift de Préfix op an loosst en a Rou; wann net, huelt d'Route ewech oder füügt eng explizit schmueler Route duerch den Tunnel derbäi, amplaz d'Metrik vum Standard erofzesetzen. Eng Metrik erofzesetzen kann e méi laangt Préfix net iwwerflügelen, an den Standard z'änneren, während zwou /1-Routen de Internetpad besëtzen, ännert och näischt.

Verbindt duerno den Tunnel erëm a widderhielt déi selwecht Ufro. Clienten installéieren d'Routen bei all Verbindung nei, also eng Ännerung, déi nëmmen bis zum nächsten Handshake hält, ass net getest. Wann de Pad nach ëmmer ofwäicht, sinn déi reschtlech Verdächtegen eng Richtlinn-Regel, eng zweet Tabell oder e Filter op der Clientsäit — net d'Standardroute.

• Nennt d'Zil an d'Quelladress, déi d'App wierklech benotzt.
• Dréckt d'Gewënnerroute mat ip route get oder Find-NetRoute aus.
• Kontrolléiert, ob en /1-Paar oder eng Richtlinntabell den Internetpad besëtzt.
• Nennt all Préfix op, dee méi laang wéi /0 ass an op d'Zil passt.
• Widderhielt d'IPv6-Kontroll separat.
• Verfollegt déi iwwerlieft Route zréck op de Fichier, de Profil oder de Filter, deen se installéiert.
• Verbindt erëm a fuert d'Ufro nach eng Kéier aus, ier Dir se als gefléckt bezeechent.

Wann all siwe mam Profil iwwerenee stëmmen, mécht den Tunnel genee dat, wofir en konfiguréiert gouf, an d'Korrektur gehéiert an de Profil an net an eng Metrik.