Kvifor Windows VPN-rutetabellen din viser 0.0.0.0/1 og 128.0.0.0/1

Kopla til ein Windows-VPN og opne rutetabellen, og to oppføringar skil seg ut: 0.0.0.0/1 og 128.0.0.0/1. Dei er ikkje ein skrivefeil, og dei erstattar ikkje standardruta. Om dei blir viste, avheng av éin profilinnstilling, og paret er måten ein full tunnel blir bygd på, ikkje ein split-tunnel-funksjon. Les innstillinga, prefikset og grensesnittet saman før du endrar éi einaste linje.

Kva innstillinga for standard gateway installerer

Profilinnstillinga som sender alt gjennom tunnelen, verkar ved å leggje til dei to prefiksa. Fjern innstillinga, og dei forsvinn og lèt att ei rute som berre dekkjer subnettet tunneladapteren har fått. Avkryssingsboksen styrer paret; ho skriv ikkje om den eine standardruta. Derfor ser tabellen etter at haket er fjerna ut som ei delvis omskriving i staden for ei sletting.

0.0.0.0/1 dekkjer den nedre halvdelen av IPv4-rommet og 128.0.0.0/1 den øvre halvdelen, så saman dekkjer dei kvar unicast-adresse. Kvar av dei er meir spesifikk enn ei standardrute 0.0.0.0/0, noko som tyder at samsvar med lengste prefiks sender vanleg trafikk inn i tunnelen medan den fysiske standardruta blir der ho var. Å halde på den standardruta er ikkje kosmetikk: pakkane som pakkar inn den krypterte nyttelasta er adresserte til den offentlege adressa til tenaren og må gå ut gjennom den fysiske adapteren. Erstatt standardruta i staden for å dele ho, og transporten til sjølve tunnelen vil prøve å gå inn i tunnelen, noko som er ei løkke og ikkje ei sambinding.

Derfor er ein bokstaveleg 0.0.0.0/0 som peikar på VPN-adapteren verd å stoppe ved. Den innebygde klienten skriv normalt ikkje noko slikt, så ei manuell rute eller konfigurasjonen til ein annan klient har endra tabellen bak ryggen din. Finn ho før du feilsøkjer noko lenger nede.

Nedriving er billegare enn å spare ein gateway

Nedriving er det praktiske argumentet for to oppføringar i staden for éi. Klienten eig nøyaktig to ruter medan han er tilkopla og slettar dei ved fråkopling, og lèt att det den fysiske adapteren har i det augneblinken. Ein klient som hadde erstatta den eine standardruta, måtte hugse den førre gatewayen, og etter ei endring i DHCP-leiga kunne han gjenopprette ein som ikkje finst lenger. To eigne oppføringar ber ingen slik tilstand.

Andre klientar kjem til same design. Ein OpenVPN-profil med redirect-gateway def1 installerer dei to prefiksa i staden for å slette standardruta, og Windows-klienten følgjer mønsteret av same rutingsgrunn.

Det er også derfor ein tabell kan sjå ut som ein full tunnel når du venta ei splitting. Paret er måten den fulle tunnelen blir bygd på, ikkje prov på ein split-tunnel-feil. Viss profilen er sett til å bruke den eksterne gatewayen, blir alt ruta, uansett kva éin lokal applikasjon framleis når.

Lengste prefiks vinn før nokon metrikk

Prefikslengda avgjer oppslaget før noko anna felt. Metrikken bryt berre uavgjort mellom ruter med identisk prefiks, så ein /1-oppføring slår ein /0-standard sjølv når metrikken er dårlegare. Grensesnittbinding avgjer kva som er att når to ruter deler eit prefiks og Windows må velje kva adapter som sender pakken.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Ein split-tunnel-tabell inneheld den fysiske standardruta, dei to halvstandardane, ruta for subnettet til tunnelen og eitkvart kontorprefiks du har lagt til. Den fysiske standardruta kan liggje på ein lågare eller høgare metrikk avhengig av klienten og profilen, og så lenge /1-paret finst, endrar den skilnaden ingenting. Han endrar alt i det augneblinken paret blir fjerna, og det er då ein utdatert gateway eller eit feil grensesnitt dukkar opp. Les heile tabellen i staden for den eine linja du venta å endre.

Vel éin eigar for kontorprefikset

For ein split-tunnel namngjev du berre prefikset som må bruke VPN-en, og vel éin måte å eige det på. Å peike ruta mot den tildelte tunneladressa verkar til adressa blir endra, medan binding til grensesnittet overlever adressa, men brest når indeksen blir tildelt på nytt etter at profilen er bygd opp att. Cmdleten som er bunden til profilen, unngår båe problema, mot at profilen er nødvendig.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdleten bind prefikset til den namngjevne profilen, så ruta dukkar opp med tilkoplinga og forsvinn med ho, noko ein administrert berbar PC vil ha. Ei varig rute overlever omstart og overlever profilen som motiverte ho, og slik lèt ein nedlagd VPN att oppføringar i årevis. Vel éin metode per prefiks og noter valet, for ei varig rute pluss ei profilrute for same prefiks gir duplikat som er vonde å nøste opp under nedriving. Uansett kva du vel, bør eigarskapet vere synleg i saka og ikkje berre på maskina.

Eigarskap er spørsmålet denne delen svarar på, ikkje syntaks. To eigarar for eitt prefiks er feilmodusen som er verd å unngå.

Stadfest med ein destinasjon, ikkje ein nettstad

Test destinasjonen som må krysse tunnelen, ikkje ein nettstad som rapporterer ei utgangsadresse. Find-NetRoute returnerer den valde ruta og kjeldeadressa, så du ser om kontorprefikset eller den fysiske standardruta vann, og deretter opnar du sjølve delinga.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Ein utgangsadresse-nettstad er ein svak kontroll, fordi DNS, IPv6 og ein nettlesarproxy kvar kan sende den førespurnaden via ein annan veg. IPv4 og IPv6 har også separate innstillingar i same dialog, og å fjerne eitt hake lèt den andre familien vere urørd, så ei maskin med dobbel stabel kan føre IPv6 gjennom tunnelen medan IPv4 følgjer split-ruta. Kontroller båe familiane før du kallar profilen splitta. Viss ruta er rett og tenesta framleis feilar, er det attverande laget filtrering og ikkje ruting.

Ein klientstyrt brannmur kan blokkere subnettet til kontoret med ein perfekt rutetabell. Den policyen høyrer til den som rulla ut profilen, ikkje personen som redigerer ruter.