Mengapa jadual laluan VPN Windows anda menunjukkan 0.0.0.0/1 dan 128.0.0.0/1

Sambung ke VPN Windows dan buka jadual laluan, dan dua entri menonjol: 0.0.0.0/1 dan 128.0.0.0/1. Ia bukan salah taip dan tidak menggantikan laluan lalai. Sama ada ia muncul bergantung pada satu pilihan profil, dan pasangan ini ialah cara terowong penuh dibina, bukan ciri terowong berpecah. Baca pilihan, awalan dan antara muka bersama-sama sebelum menukar satu baris pun.

Apa yang dipasang oleh pilihan gerbang lalai

Pilihan profil yang menghantar segala-galanya melalui terowong berfungsi dengan menambah kedua-dua awalan itu. Buang pilihan itu dan ia hilang, meninggalkan laluan yang hanya meliputi subrang yang diberikan kepada penyesuai terowong. Kotak semak mengawal pasangan itu; ia tidak menulis semula satu-satunya laluan lalai. Itulah sebabnya jadual selepas tanda ditanggalkan kelihatan seperti penulisan semula separa, bukan pemadaman.

0.0.0.0/1 meliputi separuh bawah ruang IPv4 dan 128.0.0.0/1 separuh atas, jadi bersama-sama ia meliputi setiap alamat unicast. Setiap satu lebih khusus daripada laluan lalai 0.0.0.0/0, bermakna padanan awalan terpanjang menghantar trafik biasa ke dalam terowong manakala laluan lalai fizikal kekal di tempatnya. Mengekalkan lalai itu bukan kosmetik: paket yang membalut muatan disulitkan dialamatkan ke alamat awam pelayan dan mesti keluar melalui penyesuai fizikal. Ganti laluan lalai dan bukan membahagikannya, maka pengangkutan terowong itu sendiri akan cuba masuk ke terowong, iaitu gelung dan bukan sambungan.

Oleh itu 0.0.0.0/0 literal yang menunjuk ke penyesuai VPN wajar dihentikan. Klien asli biasanya tidak menulis begitu, jadi laluan manual atau konfigurasi klien lain telah mengubah jadual di belakang anda. Cari sebelum menyahpepijat apa-apa di bawahnya.

Membongkar lebih murah daripada menyimpan gerbang

Membongkar ialah hujah praktikal untuk dua entri dan bukan satu. Klien memiliki tepat dua laluan semasa bersambung dan memadamnya apabila terputus, meninggalkan apa yang dipegang penyesuai fizikal pada masa itu. Klien yang telah menggantikan satu-satunya lalai perlu mengingati gerbang sebelumnya, dan selepas pajakan DHCP berubah ia boleh memulihkan gerbang yang tidak lagi wujud. Dua entri milik sendiri tidak membawa keadaan sedemikian.

Klien lain mencapai reka bentuk yang sama. Profil OpenVPN dengan redirect-gateway def1 memasang kedua-dua awalan itu dan bukannya memadam laluan lalai, dan klien Windows mengikut corak yang sama atas sebab penghalaan yang sama.

Itulah juga sebab jadual boleh kelihatan seperti terowong penuh apabila anda menjangka perpecahan. Pasangan itu ialah cara terowong penuh dibina, bukan bukti kesilapan terowong berpecah. Jika profil ditetapkan untuk menggunakan gerbang jauh, semuanya dihalakan, apa pun yang masih dicapai oleh satu aplikasi tempatan.

Awalan terpanjang menang sebelum sebarang metrik

Panjang awalan menentukan carian sebelum mana-mana medan lain. Metrik hanya memecah seri antara laluan dengan awalan yang sama, jadi entri /1 mengalahkan lalai /0 walaupun metriknya lebih teruk. Pengikatan antara muka menentukan apa yang tinggal apabila dua laluan berkongsi awalan dan Windows perlu memilih penyesuai mana yang menghantar paket.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Jadual terowong berpecah mengandungi lalai fizikal, dua separuh lalai, laluan subrang terowong dan mana-mana awalan pejabat yang anda tambah. Lalai fizikal mungkin berada pada metrik lebih rendah atau lebih tinggi bergantung pada klien dan profil, dan selagi pasangan /1 wujud perbezaan itu tidak mengubah apa-apa. Ia mengubah segala-galanya pada saat pasangan itu dibuang, dan ketika itulah gerbang lapuk atau antara muka salah muncul. Baca seluruh jadual dan bukan satu baris yang anda jangka akan berubah.

Pilih satu pemilik untuk awalan pejabat

Untuk terowong berpecah, namakan hanya awalan yang mesti menggunakan VPN, dan pilih satu cara untuk memilikinya. Menghala laluan ke alamat terowong yang diberikan berfungsi sehingga alamat itu berubah, manakala pengikatan kepada antara muka bertahan daripada perubahan alamat tetapi rosak apabila indeks diberikan semula selepas profil dibina semula. Cmdlet terikat profil mengelakkan kedua-dua masalah, dengan kos memerlukan profil.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdlet mengikat awalan kepada profil yang dinamakan, jadi laluan muncul bersama sambungan dan pergi bersamanya, yang dikehendaki oleh komputer riba terurus. Laluan berterusan bertahan daripada but semula dan bertahan daripada profil yang mendorongnya, dan begitulah VPN yang bersara meninggalkan entri selama bertahun-tahun. Pilih satu kaedah bagi setiap awalan dan catat pilihan itu, kerana laluan berterusan tambah laluan profil untuk awalan yang sama menghasilkan pendua yang menyakitkan untuk diuraikan semasa membongkar. Apa pun yang anda pilih, pemilikan harus kelihatan dalam tiket dan bukan hanya pada mesin.

Pemilikan ialah soalan yang dijawab bahagian ini, bukan sintaks. Dua pemilik untuk satu awalan ialah mod kegagalan yang wajar dielakkan.

Sahkan dengan destinasi, bukan laman web

Uji destinasi yang mesti melintasi terowong, bukan laman web yang melaporkan alamat keluar. Find-NetRoute mengembalikan laluan yang dipilih dan alamat sumber, jadi anda dapat melihat sama ada awalan pejabat atau lalai fizikal menang, kemudian buka kongsi itu sendiri.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Laman alamat keluar ialah pemeriksaan lemah, kerana DNS, IPv6 dan proksi pelayar masing-masing boleh menghantar permintaan itu melalui laluan berbeza. IPv4 dan IPv6 juga mempunyai tetapan berasingan dalam dialog yang sama, dan mengosongkan satu kotak membiarkan keluarga lain tidak tersentuh, jadi mesin tindanan berganda boleh membawa IPv6 melalui terowong sementara IPv4 mengikut laluan berpecah. Periksa kedua-dua keluarga sebelum memanggil profil itu berpecah. Jika laluan betul dan perkhidmatan masih gagal, lapisan yang tinggal ialah penapisan dan bukan penghalaan.

Tembok api yang diuruskan klien boleh menyekat subrang pejabat walaupun jadual laluan sempurna. Dasar itu milik pihak yang menolak profil, bukan orang yang menyunting laluan.