Kodėl jūsų Windows VPN maršrutų lentelėje rodomi 0.0.0.0/1 ir 128.0.0.0/1

Prisijunkite prie Windows VPN ir atidarykite maršrutų lentelę, ir du įrašai išsiskiria: 0.0.0.0/1 ir 128.0.0.0/1. Tai ne spausdinimo klaida ir jie nepakeičia numatytojo maršruto. Ar jie atsiras, priklauso nuo vienos profilio parinkties, o pora yra būdas, kuriuo statomas visas tunelis, o ne split-tunnel funkcija. Perskaitykite parinktį, prefiksą ir sąsają kartu prieš keisdami net vieną eilutę.

Ką įdiegia numatytojo tinklų sietuvo parinktis

Profilio parinktis, siunčianti viską per tunelį, veikia pridėdama tuos du prefiksus. Nuimkite parinktį ir jie dingsta, palikdami maršrutą, apimantį tik potinklį, duotą tunelio adapteriui. Žymimasis langelis valdo porą; jis neperrašo vienintelio numatytojo maršruto. Todėl lentelė nuėmus žymę atrodo kaip dalinis perrašymas, o ne ištrynimas.

0.0.0.0/1 apima apatinę IPv4 erdvės pusę, o 128.0.0.0/1 – viršutinę, taigi kartu jos apima visus unicast adresus. Kiekvienas jų yra konkretesnis už numatytąjį 0.0.0.0/0, o tai reiškia, kad ilgiausio prefikso atitikimas siunčia įprastą srautą į tunelį, o fizinis numatytasis maršrutas lieka ten, kur buvo. Šio numatytojo išlaikymas nėra kosmetika: paketai, apgaubiantys šifruotą turinį, adresuojami serverio viešajam adresui ir turi išeiti per fizinį adapterį. Pakeiskite numatytąjį užuot jį skaldę, ir paties tunelio transportas bandys įeiti į tunelį, o tai yra kilpa, o ne ryšys.

Todėl tiesioginis 0.0.0.0/0, nukreiptas į VPN adapterį, vertas sustojimo. Natyvusis klientas paprastai to nerašo, taigi rankinis maršrutas ar kito kliento konfigūracija pakeitė lentelę jums už nugaros. Raskite jį prieš derindami ką nors žemiau.

Išmontavimas pigesnis nei vartų išsaugojimas

Išmontavimas yra praktinis argumentas už du įrašus, o ne vieną. Prisijungęs klientas turi lygiai du maršrutus ir atsijungdamas juos ištrina, palikdamas tai, ką fizinis adapteris tuo metu turi. Klientas, kuris būtų pakeitęs vienintelį numatytąjį, turėtų atsiminti ankstesnius vartus, o po DHCP nuomos pasikeitimo galėtų atkurti tuos, kurių nebėra. Du nuosavi įrašai tokios būsenos neturi.

Kiti klientai pasiekia tą pačią konstrukciją. OpenVPN profilis su redirect-gateway def1 įdiegia tuos du prefiksus, o ne ištrina numatytąjį, o Windows klientas laikosi to paties modelio dėl tos pačios maršrutizavimo priežasties.

Štai kodėl lentelė gali atrodyti kaip visas tunelis, kai tikėjotės skaidymo. Pora yra būdas, kuriuo statomas visas tunelis, o ne split-tunnel klaidos įrodymas. Jei profilis nustatytas naudoti nuotolinius vartus, maršrutizuojama viskas, ką tik pasiekia viena vietinė programa.

Ilgiausias prefiksas laimi prieš bet kokią metriką

Prefikso ilgis nusprendžia paiešką prieš bet kurį kitą lauką. Metrika tik išsprendžia lygiąsias tarp maršrutų su identišku prefiksu, todėl /1 įrašas įveikia /0 numatytąjį net tada, kai jo metrika prastesnė. Sąsajos priskyrimas nusprendžia, kas lieka, kai du maršrutai dalijasi prefiksu ir Windows turi pasirinkti, kuris adapteris siųs paketą.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Split-tunnel lentelėje yra fizinis numatytasis, du pusiniai numatytieji, tunelio potinklio maršrutas ir bet koks pridėtas biuro prefiksas. Fizinis numatytasis gali būti mažesnėje ar didesnėje metrikoje, priklausomai nuo kliento ir profilio, ir kol egzistuoja /1 pora, tas skirtumas nieko nekeičia. Jis viską pakeičia tuo metu, kai pora pašalinama, ir tada išnyra pasenę vartai ar neteisinga sąsaja. Skaitykite visą lentelę, o ne tą vieną eilutę, kurią tikėjotės pakeisti.

Pasirinkite vieną savininką biuro prefiksui

Split-tunnel atveju įvardykite tik tą prefiksą, kuris turi naudoti VPN, ir pasirinkite vieną būdą jam priklausyti. Maršruto nukreipimas į priskirtą tunelio adresą veikia tol, kol tas adresas nesikeičia, o priskyrimas sąsajai išgyvena adreso pasikeitimą, bet lūžta, kai indeksas priskiriamas iš naujo po profilio perstatymo. Su profiliu susietas cmdlet išvengia abiejų problemų, bet reikalauja profilio.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdlet susieja prefiksą su įvardytu profilu, todėl maršrutas atsiranda su ryšiu ir išnyksta su juo, ko ir nori valdomas nešiojamasis kompiuteris. Nuolatinis maršrutas išgyvena perkrovimus ir išgyvena jį sukėlusį profilį, ir taip išjungtas VPN palieka įrašus metams. Pasirinkite vieną metodą vienam prefiksui ir įrašykite pasirinkimą, nes nuolatinis maršrutas ir profilio maršrutas tam pačiam prefiksui sukuria dublikatus, kuriuos išmontuojant skaudu išnarplioti. Kad ir ką pasirinktumėte, nuosavybė turėtų būti matoma biliete, o ne tik mašinoje.

Nuosavybė yra klausimas, į kurį atsako šis skyrius, o ne sintaksė. Du savininkai vienam prefiksui yra nesėkmės modelis, kurio verta išvengti.

Tikrinkite paskirties tašku, o ne svetaine

Išbandykite paskirties tašką, kuris turi pereiti tunelį, o ne svetainę, kuri praneša išėjimo adresą. Find-NetRoute grąžina pasirinktą maršrutą ir šaltinio adresą, todėl matote, ar laimėjo biuro prefiksas, ar fizinis numatytasis, ir tada atidarote patį bendrinį išteklių.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Išėjimo adreso svetainė yra silpna patikra, nes DNS, IPv6 ir naršyklės tarpinis serveris gali kiekvienas siųsti tą užklausą skirtingu keliu. IPv4 ir IPv6 tame pačiame dialoge taip pat turi atskirus nustatymus, o išvalius vieną langelį kita šeima lieka nepaliesta, todėl dvigubo steko mašina gali nešti IPv6 per tunelį, kol IPv4 laikosi skaidyto maršruto. Patikrinkite abi šeimas prieš vadindami profilį skaidytu. Jei maršrutas teisingas, o paslauga vis tiek nepavyksta, likęs sluoksnis yra filtravimas, o ne maršrutizavimas.

Kliento valdoma užkarda gali blokuoti biuro potinklį net esant tobulai maršrutų lentelei. Ta politika priklauso tam, kas išsiuntinėjo profilį, o ne tam, kas redaguoja maršrutus.