Dlaczego szeroka trasa VPN psuje kilka publicznych witryn

Większość stron się ładuje, dwie lub trzy kończą się przekroczeniem czasu, a przeglądarka wini połączenie. Witryny, które zawodzą, mają coś wspólnego, czego nie mają działające: ich rozwiązane adresy mieszczą się w prefiksie zainstalowanym przez VPN. Trasa wystarczająco szeroka, by objąć zakres publiczny, przechwyci ruch, którego tunel nigdy nie miał przenosić, a objaw wygląda jak problem witryny, a nie decyzja o routingu.

Rozwiąż nazwę, która zawodzi, a następnie spójrz na tablicę routingu, a nie na przeglądarkę.

Porównuj adres, a nie nazwę witryny

Znajdź adres, którego klient faktycznie próbował, a następnie sprawdź, która trasa do niego pasuje. Cel wewnątrz 45.61.20.10 wchodzi pod 45.0.0.0/8, jeśli ten prefiks jest obecny, nawet jeśli sama witryna nie ma nic wspólnego z tunelem. Porównanie zawodzącego adresu z zainstalowanymi prefiksami to zadanie odejmowania, a nie zgadywanie.

Windows może odpowiedzieć bezpośrednio na obie połowy, a wyszukiwanie pokazuje, który interfejs i który następny skok wygrały wybór. Rozwiąż nazwę dwa razy, jeśli witryna zwraca kilka adresów. Zapisz każdy z pasującą trasą. Różne adresy mogą dawać różne odpowiedzi, a tylko jeden z nich może być przypadkiem, który zawodzi.

Resolve-DnsName www.example.org
Get-NetRoute -AddressFamily IPv4 | Select-Object DestinationPrefix,InterfaceIndex,NextHop,RouteMetric
Find-NetRoute -RemoteIPAddress 45.61.20.10
Get-VpnConnection | Format-List Name,SplitTunneling,Routes

Czytaj najbardziej szczegółowy pasujący prefiks, a nie pierwszy wiersz, który wygląda znajomo. Trasa obecna w tabeli nie dowodzi, że wygrała wyszukiwanie; robi to najdłuższe dopasowanie. Dwa prefiksy mogą pasować do jednego adresu, a tylko jeden z nich odbiera pakiet. Przegrany zostaje w tabeli i wygląda w zestawieniu równie realnie.

Zapisz prefiks, jego interfejs i rozwiązany adres. Te trzy wartości to cała diagnoza.

Ustal, kto zainstalował trasę

Trasy pochodzą z czterech miejsc: natywnego profilu VPN, polityki zarządzania, skryptu połączenia lub zupełnie innego klienta. Usunięcie aktywnego wpisu może potwierdzić jego znaczenie, ale następne połączenie odtworzy go z zapisanej konfiguracji, więc zmienić trzeba źródło.

Najpierw sprawdź listę tras profilu, potem politykę zarządzania, a potem dowolny skrypt uruchamiany przy połączeniu. Ta kolejność odpowiada temu, jak często każdy z nich okazuje się odpowiedzialny. Utrzymuje też zmianę w jednej warstwie zamiast trzech.

Uważnie przeczytaj natywne zachowanie oparte na klasach

Natywne profile Windows mają udokumentowane ustawienie NativeProfile/DisableClassBasedDefaultRoute, które kontroluje automatyczną trasę wywnioskowaną z adresu interfejsu. Adres profilu zaczynający się od 45 może przy tym zachowaniu utworzyć wpis 45.0.0.0/8 i tak jeden publiczny adres przechwytuje cały zakres klasy A.

Nazwa właściwości zachęca do błędnego odczytu: ustawienie jej na true wyłącza wnioskowanie, a false je włącza. Nie jest to też ten sam obiekt co trasa domyślna i nie zarządza klientami firm trzecich, które instalują własne prefiksy.

Jeśli wnioskowanie jest udowodnioną przyczyną, popraw profil przez jego właściciela zarządzania i wyraźnie podaj zamierzone prefiksy prywatne. Jeśli wpis dodał skrypt, napraw skrypt. Zastąpienie jednej niewyjaśnionej szerokiej trasy inną zmienia objaw, nie odpowiadając na pytanie.

Napraw źródło, a następnie ponownie sprawdź obie ścieżki

Po zmianie połącz się ponownie i powtórz wyszukiwanie dla zawodzącej witryny publicznej oraz dla zasobu, który musi korzystać z tunelu. Pierwszy powinien teraz rozwiązywać się do interfejsu fizycznego, a drugi nadal wybierać VPN. Nie zatrzymuj się na pierwszym sukcesie; poprawka, która psuje też dostęp prywatny, zamieniła jedną usterkę na drugą.

Jednocześnie przejrzyj plan adresów serwera. Pula pokrywająca się z przestrzenią publiczną powoduje ten typ problemu raz za razem. Zakres wybrany świadomie przez operatora zasługuje na inną rozmowę, a nie automatyczne przenumerowanie.

Podniesienie MTU lub wyczyszczenie DNS nie naprawi prefiksu, który nadal kieruje ten adres do tunelu. Najpierw sprawdź wybór, potem ścieżkę.