Għaliex subnet waħda xorta tgħaddi mill-rotta default tal-VPN tiegħek

Tibdel il-VPN għal tunnel sħiħ, il-biċċa l-kbira tat-traffiku jobdi, u mbagħad indirizz wieħed iwieġeb direttament — printer, NAS, jump host fuq 10.x. Il-qari ovvju huwa li t-tunnel qed inixxi, allura tbaxxi l-metrika fuq ir-rotta default u xejn ma jinbidel. Dak l-attentat fallut huwa l-ħjiel: rotta default hija rikors, mhux verdett. It-tfittxija tar-rotta tieħu l-itwal prefiss li jaqbel qabel ma tqabbel il-metriki, allura /24 tibqa' tirbaħ kontra /0 tkun xi tkun in-numru li twaħħal ma' waħda minnhom. Ladarba dan l-ordni jkun ċar, it-tnixxija normalment tkun rotta li xi ħadd installa apposta, jew prefiss li l-klijent qatt ma kellu l-ħsieb ikopri.

X'jiggarantixxi rotta default fil-verità

0.0.0.0/0 taqbel ma' kull destinazzjoni IPv4 b'żero bits ta' speċifiċità. Teżisti biex host ikun jista' jasal għal kull ma t-tabella tiegħu ma tiddeskrivix aħjar. Rotta għal 192.168.1.0/24 iġġorr 24 bit li jaqblu, allura għal 192.168.1.40 tirbaħ qabel ma xi ħadd iqabbel metriki, distanza amministrattiva jew kif il-klijent isejjaħ il-qasam ta' prijorità tiegħu. L-istess regola tgħodd fil-Linux FIB, fit-tabella tar-routing ta' Windows u fl-istack BSD wara macOS.

Fuq LAN normali dan l-imġieba hija karatteristika. Is-subnet lokali hija mwaħħla direttament, il-printer jibqa' jaħdem waqt li t-tunnel iġorr il-browsing tiegħek, u xejn mhu konfigurat ħażin. Il-mistoqsija li tistħoqqlha ssir mhix għaliex dak l-indirizz wieħed imur dirett, imma liema prefiss f'liema tabella jaqbel miegħu, u min poġġieh hemmhekk.

Nofs-default, jew għaliex l-entrata default tista' tidher mhux mittiefsa

L-eħfef eżempju huwa redirect-gateway def1 f'OpenVPN. Minflok ma jħassar ir-rotta default tiegħek u jissostitwixxiha, iżid 0.0.0.0/1 u 128.0.0.0/1. Flimkien il-par ikopri l-IPv4 kollha, kull prefiss huwa itwal minn /0, u t-tnejn jegħlbu d-default tar-router filwaqt li jħalluha f'postha. Mexxi lista tar-rotot wara u r-rotta default oriġinali għadha hemm, għadha tindika lejn il-gateway tiegħek; sempliċement qatt ma tintgħażel għal destinazzjonijiet tal-internet.

Il-wg-quick ta' WireGuard jilħaq l-istess riżultat permezz ta' routing ibbażat fuq il-politika. Meta AllowedIPs tkopri 0.0.0.0/0 joħloq it-tabella tiegħu stess, jibgħat pakketti mmarkati hemmhekk, u jżid regola li tinjora l-prefiss ta' tul żero tat-tabella prinċipali. It-tabella prinċipali żżomm l-entrata default tagħha, u r-regoli jiddeċiedu li t-tabella tat-tunnel tiġi kkonsultata l-ewwel għat-traffiku li għandha l-interface.

Iż-żewġ disinni jeħtieġu eżattament rotta waħda barra t-tunnel: rotta host għall-indirizz tal-server VPN stess permezz tal-gateway oriġinali. Mingħajrha l-klijent jipprova jġorr il-pakketti li jibnu t-tunnel ġewwa t-tunnel, u l-konnessjoni qatt ma titlesta. Għalhekk rotta li mhix tunnel fit-tabella tiegħek hija normali anke fuq profil strett ta' tunnel sħiħ. Ir-rotot li jistħoqqilhom jiġu mistħarrġa huma dawk li jkopru destinazzjonijiet li tassew jimpurtak minnhom.

Il-metriki jiddeċiedu l-pari, il-prefissi jiddeċiedu r-rebbieħa

Il-metriki jiġu mqabbla biss fost kandidati li jaqblu bl-istess mod mad-destinazzjoni. Fuq Linux ip route get 10.20.5.9 tipprintja r-rebbieħ flimkien mat-tabella tiegħu, u ip route show table all telenka l-kandidati, inkluż kwalunkwe nofs-default u kwalunkwe tabella li lejha tindika regola. Fuq Windows Find-NetRoute -RemoteIPAddress 10.20.5.9 tirritorna r-rotta magħżula u l-indirizz tas-sors, filwaqt li Get-NetRoute turi t-tabella mhux maħduma — iżda l-ispiża effettiva hija l-metrika tar-rotta flimkien mal-metrika tal-interface, allura adattatur bil-mod jista' jitlef pari li jidher li qed jirbaħ.

Tliet każijiet ikopru l-biċċa l-kbira ta' dak li se tara:

• L-istess destinazzjoni, /24 kontra /0: il-/24 tirbaħ fuq it-tul tal-prefiss, x'jgħidu l-metriki.
• L-istess destinazzjoni, żewġ /24 b'metriki differenti: tirbaħ il-metrika effettiva l-inqas.
• L-istess destinazzjoni, żewġ tabelli, waħda magħżula minn regola tal-politika: ir-regola tagħżel l-ewwel it-tabella, u t-tqabbil tal-prefissi jsir ġo fiha.

It-tielet każ huwa fejn jispiċċaw il-biċċa l-kbira ta' dawn ir-rapporti. ip rule Linux jew filtru tat-traffiku VPN ta' Windows jista' jibgħat traffiku lejn tabella li qatt ma żammet id-default tat-tunnel, u t-tabella prinċipali tidher perfetta l-ħin kollu.

Min normalment jippossjedi l-bypass

Ibda mill-profil, mhux mit-tabella. Konfigurazzjonijiet split-tunnel u settings tal-VPN għal kull app apposta jħallu prefissi msemmija barra t-tunnel; profil tax-xogħol li jipproteġi subnet privat wieħed u jħalli l-browsing ġenerali jmur dirett iġib ruħu kif iddisinjat, u li tinjorah jikser il-politika li kien mibni biex iġġiegħel. Il-gwida tar-routing tal-VPN ta' Microsoft tiġbed l-istess linja bejn traffiku mġiegħel fit-tunnel u eċċezzjonijiet espliċiti, li tagħmilha kontroll inkroċjat utli qabel tibdel xejn.

Imbagħad fittex il-fdalijiet. Rotta li tindika lejn interface li m'għadhiex teżisti, jew lejn indirizz min-netwerk preċedenti, tidher wara li jiġu u jmorru stazzjonijiet tad-docking, adattaturi USB u pontijiet tal-kontenituri. Li tħassarha darba mhix it-tmiem: profili tal-konnessjoni tan-NetworkManager, fajls netplan u rotot persistenti ta' Windows jerġgħu jinstallawha mal-konnessjoni jew boot li jmiss, allura sib il-fajl jew il-profil li jippossjediha qabel tbiddel xejn.

Imbagħad iċċekkja IPv6 waħedha. ip -6 route u Get-NetRoute -AddressFamily IPv6 iżommu stat separat, defaults separati u mġieba tal-klijent separata. Verifika tal-IPv4 biss ma tgħid xejn dwar host b'doppja stack li bil-kwiet jippreferi mogħdija IPv6 nattiva, u dan waħdu jista' jagħmel klijent jidher split-tunnel.

Ikkonferma bil-fluss tal-applikazzjoni stess

Irreġistra d-destinazzjoni li l-applikazzjoni fil-fatt tuża, imbagħad staqsi lis-sistema għall-mogħdija li tieħu mill-indirizz tas-sors li magħha l-applikazzjoni torbot ruħha. ip route get 10.20.5.9 from 192.168.1.40 twieġeb dan fuq Linux; Find-NetRoute -RemoteIPAddress 10.20.5.9 flimkien mal-indirizz lokali jagħmlu dan fuq Windows. Qabbel ir-riżultat ma' dak li tallega l-profil. Il-paġna tal-IP pubbliku ta' browser tittestja destinazzjoni waħda fuq protokoll wieħed u ma tgħid xejn dwar l-indirizz privat li beda l-ilment.

Sejjaħ l-iżgħar oġġett li jispjega d-differenza. Jekk l-eċċezzjoni hija approvata, ikteb il-prefiss u ħallih; jekk le, neħħi r-rotta jew żid rotta espliċita aktar dejqa mit-tunnel minflok ma tbaxxi l-metrika tad-default. It-tbaxxija ta' metrika ma tistax taqbeż prefiss itwal, u l-editjar tad-default waqt li żewġ rotot /1 jippossjedu l-mogħdija tal-internet lanqas ma jbiddel xejn.

Imbagħad erġa' qabbad it-tunnel u erġa' wettaq l-istess mistoqsija. Il-klijenti jinstallaw mill-ġdid ir-rotot f'kull konnessjoni, allura bidla li ddum biss sal-handshake li jmiss mhijiex ittestjata. Jekk il-mogħdija xorta tvarja, is-suspetti li jifdal huma regola tal-politika, tabella oħra jew filtru fuq in-naħa tal-klijent — mhux ir-rotta default.

• Semmi d-destinazzjoni u l-indirizz tas-sors li l-app fil-fatt tuża.
• Ipprintja r-rotta rebbieħa bil-ip route get jew bil-Find-NetRoute.
• Iċċekkja jekk par /1 jew tabella tal-politika jippossjedux il-mogħdija tal-internet.
• Elenca kull prefiss itwal minn /0 li jaqbel mad-destinazzjoni.
• Erġa' wettaq il-verifika tal-IPv6 separatament.
• Segwi r-rotta li baqgħet lura lejn il-fajl, il-profil jew il-filtru li jinstallaha.
• Erġa' qabbad u erġa' mexxi l-mistoqsija qabel ma ssejħilha msewwija.

Jekk is-sebgħa kollha jaqblu mal-profil, it-tunnel qed jagħmel eżattament dak li kien konfigurat għalih, u t-tiswija tappartjeni lill-profil mhux lill-metrika.