Зошто вашата Windows VPN табела со рути ги прикажува 0.0.0.0/1 и 128.0.0.0/1

Поврзете се со Windows VPN и отворете ја табелата со рути, и два записи се истакнуваат: 0.0.0.0/1 и 128.0.0.0/1. Тие не се печатна грешка и не ја заменуваат стандардната рута. Нивното појавување зависи од една опција во профилот, а парот е начинот на кој се гради целосен тунел, а не функција на поделен тунел. Прочитајте ја опцијата, префиксот и интерфејсот заедно пред да смените и една линија.

Што инсталира опцијата за стандарден гејтвеј

Опцијата во профилот што го праќа сето низ тунелот работи со додавање на тие два префикса. Отстранете ја опцијата и тие исчезнуваат, оставајќи рута што го покрива само подмрежјето доделено на адаптерот на тунелот. Полето за избор го контролира парот; тоа не ја препишува единствената стандардна рута. Затоа табелата по отстранувањето на ознаката изгледа како делумно препишување, а не како бришење.

0.0.0.0/1 ја покрива долната половина од IPv4 просторот и 128.0.0.0/1 горната половина, па заедно ги покриваат сите unicast адреси. Секој од нив е поспецифичен од стандардната 0.0.0.0/0, што значи дека совпаѓањето на најдолгиот префикс го праќа обичниот сообраќај во тунелот, додека физичката стандардна рута останува каде што била. Задржувањето на таа стандардна рута не е козметика: пакетите што го обвиткуваат шифрираниот товар се адресирани до јавната адреса на серверот и мора да излезат низ физичкиот адаптер. Заменете ја стандардната рута наместо да ја делите, и транспортот на самиот тунел ќе се обиде да влезе во тунелот, што е јамка, а не врска.

Затоа буквална 0.0.0.0/0 што покажува на VPN адаптерот вреди да се запре. Вградениот клиент обично не пишува такво нешто, па рачна рута или конфигурација на друг клиент ја сменила табелата зад вашиот грб. Најдете ја пред да отстранувате грешки во било што подолу.

Демонтирањето е поевтино од чување на гејтвеј

Демонтирањето е практичниот аргумент за два записи наместо еден. Клиентот поседува точно две рути додека е поврзан и ги брише при исклучување, оставајќи го она што физичкиот адаптер го држи во тој момент. Клиент што ја заменил единствената стандардна рута би морал да го памти претходниот гејтвеј, а по промена на DHCP закупот би можел да врати гејтвеј што повеќе не постои. Два сопствени записи не носат таква состојба.

Други клиенти доаѓаат до истиот дизајн. OpenVPN профил со redirect-gateway def1 ги инсталира тие два префикса наместо да ја избрише стандардната рута, а Windows клиентот го следи истиот образец од истата причина за рутирање.

Затоа и табелата може да изгледа како целосен тунел кога очекувавте поделба. Парот е начинот на кој се гради целосниот тунел, а не доказ за грешка при поделен тунел. Ако профилот е поставен да го користи оддалечениот гејтвеј, сето се рутира, што и да успее да достигне една локална апликација.

Најдолгиот префикс победува пред која било метрика

Должината на префиксот одлучува за пребарувањето пред кое било друго поле. Метриката само ги решава нерешените меѓу рути со идентичен префикс, па записот /1 победува стандардната /0 дури и кога неговата метрика е полоша. Врзувањето за интерфејсот одлучува што останува кога две рути делат префикс и Windows треба да избере кој адаптер ќе го испрати пакетот.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Табелата на поделен тунел ја содржи физичката стандардна рута, двете половина-стандардни, рутата за подмрежјето на тунелот и секој канцелариски префикс што сте го додале. Физичката стандардна рута може да биде на пониска или повисока метрика зависно од клиентот и профилот, и додека постои парот /1 таа разлика не менува ништо. Таа менува сето во моментот кога парот се отстранува, и тогаш се појавува застарен гејтвеј или погрешен интерфејс. Читајте ја целата табела, а не таа една линија што очекувавте да ја смените.

Изберете еден сопственик за канцеларискиот префикс

За поделен тунел именувајте го само префиксот што мора да го користи VPN, и изберете еден начин да го поседувате. Насочувањето на рутата кон доделената адреса на тунелот работи додека таа адреса не се смени, додека врзувањето за интерфејсот ја преживува промената на адресата, но се крши кога индексот повторно се доделува по повторното градење на профилот. Cmdlet-от врзан за профилот ги избегнува и двата проблема, по цена што е потребен профилот.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdlet-от го врзува префиксот за именуваниот профил, па рутата се појавува со врската и си оди со неа, што го сака управуван преносен сметач. Постојаната рута ги преживува рестартирањата и го преживува профилот што ја предизвикал, и така пензиониран VPN остава записи со години. Изберете еден метод по префикс и запишете го изборот, бидејќи постојана рута плус профилна рута за истиот префикс создаваат дупликати што е болно да се разрешат при демонтирање. Што и да изберете, сопственоста треба да биде видлива во тикетот, а не само на машината.

Сопственоста е прашањето на кое одговара овој дел, а не синтаксата. Два сопственици за еден префикс е режимот на неуспех што вреди да се избегне.

Проверете со дестинација, а не со веб-страница

Тестирајте ја дестинацијата што мора да помине низ тунелот, а не веб-страница што пријавува излезна адреса. Find-NetRoute ја враќа избраната рута и изворната адреса, па можете да видите дали победил канцеларискиот префикс или физичката стандардна рута, а потоа ја отворате самата споделба.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Веб-страница со излезна адреса е слаба проверка, бидејќи DNS, IPv6 и прокси на прелистувачот можат секој да го испрати тоа барање по различен пат. IPv4 и IPv6 имаат и одделни поставки во истиот дијалог, а празнењето на едно поле ја остава другата фамилија недопрена, па машина со двоен стек може да носи IPv6 низ тунелот додека IPv4 ја следи поделената рута. Проверете ги двете фамилии пред да го наречете профилот поделен. Ако рутата е точна, а услугата и понатаму не работи, преостанатиот слој е филтрирање, а не рутирање.

Огнено ѕид управуван од клиентот може да го блокира канцелариското подмрежје и со совршена табела со рути. Таа политика и припаѓа на оној што го распоредил профилот, а не на лицето што уредува рути.