Kvifor ei brei VPN-rute øydelegg nokre få offentlege nettstader

Dei fleste sidene lastar, to eller tre går ut på tid, og nettlesaren gjev sambandet skulda. Nettstadene som feilar, har noko til felles som dei som fungerer ikkje har: dei oppløyste adressene deira fell innanfor eit prefiks som VPN-en installerte. Ei rute som er brei nok til å dekkje eit offentleg område, vil fange trafikk som tunnelen aldri var meint å frakte, og symptomet ser ut som eit nettstadproblem i staden for ei rutingsavgjerd.

Slå opp namnet som feilar, og sjå så på rutetabellen i staden for nettlesaren.

Samanlikn adressa, ikkje namnet på nettstaden

Slå opp adressa klienten faktisk prøvde, og kontroller så kva rute som samsvarar med ho. Ein destinasjon innanfor 45.61.20.10 fell under 45.0.0.0/8 om det prefikset er til stades, sjølv om nettstaden sjølv ikkje har noko med tunnelen å gjere. Å samanlikne den feilande adressa med dei installerte prefiksa er ei subtraksjonsoppgåve, ikkje ei gissing.

Windows kan svare på båe halvdelane direkte, og eit oppslag viser kva grensesnitt og kva neste hopp som vann utvalet. Slå opp namnet to gonger om nettstaden returnerer fleire adresser. Noter kvar av dei med ruta som samsvara. Ulike adresser kan gje ulike svar, og berre éi av dei er kanskje det feilande tilfellet.

Resolve-DnsName www.example.org
Get-NetRoute -AddressFamily IPv4 | Select-Object DestinationPrefix,InterfaceIndex,NextHop,RouteMetric
Find-NetRoute -RemoteIPAddress 45.61.20.10
Get-VpnConnection | Format-List Name,SplitTunneling,Routes

Les det mest spesifikke samsvarande prefikset, ikkje den første linja som ser kjend ut. Ei rute som finst i tabellen beviser ikkje at ho vann oppslaget; det gjer det lengste treffet. To prefiks kan samsvare med éi adresse, og berre eitt av dei tek imot pakken. Taparen blir i tabellen og ser like ekte ut i ei liste.

Skriv ned prefikset, grensesnittet og den oppløyste adressa. Dei tre verdiane er heile diagnosen.

Finn ut kven som installerte ruta

Ruter kjem frå fire stader: den innebygde VPN-profilen, ein administrasjonspolicy, eit tilkoplingsskript eller ein heilt annan klient. Å slette den levande oppføringa kan stadfeste relevansen, men den neste tilkoplinga gjenopprettar ho frå den lagra konfigurasjonen, så kjelda er det som må endrast.

Kontroller rutelista til profilen først, deretter administrasjonspolicyen, deretter eit kvart skript som køyrer ved tilkopling. Den rekkjefølgja samsvarar med kor ofte kvar av dei viser seg å vere ansvarleg. Ho held òg endringa i eitt lag i staden for tre.

Les den innebygde klassebaserte åtferda nøye

Innebygde Windows-profilar har ei dokumentert innstilling, NativeProfile/DisableClassBasedDefaultRoute, som styrer ei automatisk rute utleidd frå grensesnittadressa. Ei profiladresse som byrjar med 45 kan under den åtferda produsere ei oppføring 45.0.0.0/8, og det er slik éi offentleg adresse fangar eit heilt klasse-A-område.

Eigenskapsnamnet innbyr til feil lesing: sett til true slår det av utleiinga, og false slår ho på. Det er heller ikkje same objektet som ei standardrute, og det styrer ikkje tredjepartsklientar som installerer sine eigne prefiks.

Om det er utleiinga som er den påviste årsaka, rettar du profilen via administrasjonseigaren og oppgir dei tiltenkte private prefiksa eksplisitt. Om eit skript la til oppføringa, reparerer du skriptet. Å erstatte éi uforklara brei rute med ei anna endrar symptomet utan å svare på spørsmålet.

Reparer kjelda, og kontroller så båe stiane på nytt

Etter endringa koplar du til på nytt og gjer oppslaget på nytt for ein feilande offentleg nettstad og for ein ressurs som må bruke tunnelen. Den første skal no løysast til det fysiske grensesnittet, og den andre skal framleis velje VPN-en. Ikkje stopp ved den første suksessen; ei retting som òg bryt privat tilgang, har bytt éin feil mot ein annan.

Gå gjennom adresseplanen til tenaren samstundes. Ein pool som overlappar offentleg rom, fører til denne typen problem om og om igjen. Eit område operatøren valde med vilje fortener ein annan samtale, ikkje automatisk omnummerering.

Å auke MTU-en eller tømme DNS vil ikkje rette eit prefiks som framleis sender den adressa inn i tunnelen. Test utvalet først, deretter stien.