Firwat Är Windows-VPN-Routentabell 0.0.0.0/1 an 128.0.0.0/1 weist

Verbind Iech mat engem Windows-VPN a maacht d’Routentabell op, an zwou Entréë falen op: 0.0.0.0/1 an 128.0.0.0/1. Si sinn net eng Tippfehler a si ersetzen net déi Standardroute. Ob se erschéngen, hänkt vun enger Profiloptioun of, an d’Paar ass d’Manéier wéi en kompletten Tunnel gebaut gëtt, net eng Split-Tunnel-Funktioun. Liest d’Optioun, de Prefix an d’Interface zesummen, ier Dir eng eenzeg Zeil ännert.

Wat d’Optioun vum Standard-Gateway installéiert

D’Profiloptioun, déi alles duerch den Tunnel schéckt, funktionéiert andeems se déi zwee Prefixe bäisetzt. Huelt d’Optioun ewech an si verschwannen, an et bleift eng Route, déi nëmmen dat Subnetz deckt, dat dem Tunneladapter ginn ass. D’Këscht kontrolléiert d’Paar; si schreift déi eenzeg Standardroute net ëm. Dofir gesäit d’Tabell no dem Ofhaken aus wéi eng deelweis Ëmschreiwung an net wéi eng Läschung.

0.0.0.0/1 deckt déi ënnescht Hallschent vum IPv4-Raum an 128.0.0.0/1 déi iewescht Hallschent, sou datt si zesummen all Unicast-Adress decken. Jiddweree vun hinnen ass méi spezifesch wéi eng Standardroute 0.0.0.0/0, wat heescht, datt d’Längst-Prefix-Iwwereneestëmmung normalen Trafik an den Tunnel schéckt, während déi physesch Standardroute do bleift wou se war. Dës Standardroute ze behalen ass net kosmetesch: d’Pakete vun deene verschlësselte Payload ëmgi gëtt, si sinn op d’ëffentlech Adress vum Server adresséiert a musse duerch den physeschen Adapter eraus. Ersetzt d’Standardroute amplaz se ze splécken, an den Transport vum Tunnel selwer probéiert an den Tunnel ze kommen, wat eng Schleif an net eng Verbindung ass.

Dofir ass eng wuertwiertlech 0.0.0.0/0, déi op den VPN-Adapter weist, et wäert ze stoppen. Den native Client schreift sou eppes normalerweis net, also huet eng manuell Route oder d’Konfiguratioun vun engem anere Client d’Tabell hannert Ärem Réck geännert. Fannt se, ier Dir eppes weider ënnen debuggt.

Ofbau ass méi bëlleg wéi e Gateway ze späicheren

Ofbau ass dat praktescht Argument fir zwou Entréë statt enger. De Client besëtzt genau zwou Route wärend en verbonnen ass a läscht se beim Trennen, an et bleift wat den physeschen Adapter zu deem Moment huet. E Client, deen déi eenzeg Standardroute ersat hätt, misst de virege Gateway erënneren, an no enger Ännerung vum DHCP-Lease kéint en een erëmstellen, deen et net méi gëtt. Zwou eegen Entréë droen esou en Zoustand net.

Aner Clienten kommen zum selwechte Konzept. En OpenVPN-Profil mat redirect-gateway def1 installéiert déi zwee Prefixe amplaz d’Standardroute ze läschen, an de Windows-Client follegt dësem Muster aus dem selwechte Routinggrond.

D’Tabell kann och dofir wéi e kompletten Tunnel ausgesinn, wann Dir eng Spléckung erwaart hutt. D’Paar ass d’Manéier wéi den kompletten Tunnel gebaut gëtt, net e Beweis fir e Feeler beim Split-Tunnel. Wann de Profil agestallt ass fir de Remote-Gateway ze benotzen, gëtt alles geroutet, wat eng lokal Applikatioun och nach erreecht.

De längste Prefix gewënnt virun all Metrik

D’Längt vum Prefix entscheet d’Ufro virun all anerem Feld. D’Metrik brécht nëmmen de Gläichstand tëscht Route mat identeschem Prefix, also gewënnt eng /1-Entrée eng /0-Standardroute och wann hir Metrik méi schlecht ass. D’Interface-Bindung entscheet, wat iwwreg bleift, wann zwou Route sech e Prefix deelen an Windows muss wielen, wéi en Adapter de Pak schéckt.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Eng Split-Tunnel-Tabell enthält déi physesch Standardroute, déi zwou Hallef-Standardrouten, d’Route fir d’Subnetz vum Tunnel an all Office-Prefix, deen Dir bäigefüügt hutt. Déi physesch Standardroute kann op enger méi niddereger oder méi héijer Metrik sëtzen, jee no Client a Profil, a soulaang d’/1-Paar existéiert ännert deen Ënnerscheed näischt. Et ännert alles an deem Moment wou d’Paar ewechgeholl gëtt, an dann kënnt en iwwerflëssegen Gateway oder eng falsch Interface eraus. Liest déi ganz Tabell an net déi eng Zeil, déi Dir erwaart hutt z’änneren.

Wielt een Eegentemer fir den Office-Prefix

Fir e Split-Tunnel nennt nëmmen de Prefix, deen de VPN muss benotzen, a wielt eng Manéier en ze besëtzen. D’Route op déi zougewisen Tunneladress ze riichten funktionéiert bis déi Adress ännert, während d’Bindung un d’Interface d’Adress iwwerlieft awer brécht, wann den Index no dem Neibau vum Profil nei zougewisen gëtt. De profilgebonnenen Cmdlet vermeit béid Problemer, op Käschte vum Profil.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

De Cmdlet bindt de Prefix un den genanntene Profil, sou datt d’Route mat der Verbindung erschéngt a mat hir geheit, wat en administréierte Laptop wëll. Eng persistent Route iwwerlieft Neistarts an iwwerlieft de Profil, deen se ausgeléist huet, an esou hannerléisst en ausser Betrib gesate VPN Joeren Entréen. Wielt eng Method pro Prefix a notéiert d’Wiel, well eng persistent Route plus eng Profilroute fir dee selwechte Prefix Duplikater produzéieren, déi beim Ofbau Péin verursaachen. Wat Dir och wielt, d’Eegentum sollt am Ticket sichtbar sinn an net nëmmen op der Maschinn.

Eegentum ass d’Fro, déi dës Sektioun äntwert, net d’Syntax. Zwee Eegentemer fir een Prefix ass de Fehlermodus, deen et wäert ass ze vermeiden.

Verifizéiert mat engem Zil, net mat enger Websäit

Test d’Zil, déi duerch den Tunnel muss, net eng Websäit, déi eng Ausgangsadress mëttelt. Find-NetRoute gëtt déi gewielte Route an d’Quelladress zréck, sou datt Dir gesitt ob den Office-Prefix oder déi physesch Standardroute gewonnen huet, an dann maacht Dir d’Deelung selwer op.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Eng Ausgangsadress-Websäit ass eng schwaach Kontroll, well DNS, IPv6 an e Browserproxy kënnen dës Ufro jiddweree op engem anere Wee schécken. IPv4 an IPv6 hunn och getrennte Astellungen an der selwechter Dialog, an eng Këscht eidel ze maachen léisst déi aner Famill onberéiert, also kann eng Maschinn mat duebele Stack IPv6 duerch den Tunnel droen, während IPv4 der Splitroute follegt. Kontrolléiert béid Familljen, ier Dir de Profil als gespléckt bezeechent. Wann d’Route richteg ass an den Service awer nach feelt, ass d’Schicht déi iwwreg bleift Filterung an net Routing.

Eng vum Client verwalt Firewall kann d’Office-Subnetz blockéieren, och mat enger perfekter Routentabell. Déi Politik gehéiert deenen, déi de Profil ausgerullt hunn, net der Persoun, déi Route beaarbecht.