Prečo široká trasa VPN rozbíja niekoľko verejných webov

Väčšina stránok sa načíta, dve alebo tri vypršia a prehliadač viní pripojenie. Weby, ktoré zlyhávajú, majú niečo spoločné, čo funkčné nemajú: ich preložené adresy spadajú do prefixu, ktorý nainštaloval VPN. Trasa dostatočne široká na pokrytie verejného rozsahu zachytí prevádzku, ktorú tunel nikdy nemal prenášať, a príznak vyzerá ako problém webu, nie ako rozhodnutie o smerovaní.

Preložte zlyhávajúci názov a potom sa pozrite do smerovacej tabuľky, nie do prehliadača.

Porovnávajte adresu, nie názov webu

Vyhľadajte adresu, ktorú klient skutočne skúsil, a potom zistite, ktorá trasa jej zodpovedá. Cieľ v rámci 45.61.20.10 spadá pod 45.0.0.0/8, ak je tento prefix prítomný, aj keď samotný web nemá s tunelom nič spoločné. Porovnanie zlyhávajúcej adresy s nainštalovanými prefixmi je úloha na odčítanie, nie hádanie.

Windows dokáže odpovedať na obe polovice priamo a vyhľadanie ukáže, ktoré rozhranie a ktorý ďalší skok vyhrali výber. Ak web vracia niekoľko adries, preložte názov dvakrát. Zapíšte každú s trasou, ktorá jej zodpovedala. Rôzne adresy môžu dávať rôzne odpovede a iba jedna z nich môže byť zlyhávajúcim prípadom.

Resolve-DnsName www.example.org
Get-NetRoute -AddressFamily IPv4 | Select-Object DestinationPrefix,InterfaceIndex,NextHop,RouteMetric
Find-NetRoute -RemoteIPAddress 45.61.20.10
Get-VpnConnection | Format-List Name,SplitTunneling,Routes

Čítajte najkonkrétnejší zodpovedajúci prefix, nie prvý riadok, ktorý vyzerá povedomo. Trasa prítomná v tabuľke nedokazuje, že vyhrala vyhľadanie; robí to najdlhšia zhoda. Dva prefixy môžu zodpovedať jednej adrese a iba jeden z nich paket prijme. Porazený zostáva v tabuľke a v zozname vyzerá rovnako skutočne.

Zapíšte prefix, jeho rozhranie a preloženú adresu. Tieto tri hodnoty sú celá diagnóza.

Zistite, kto trasu nainštaloval

Trasy prichádzajú zo štyroch miest: z natívneho profilu VPN, zo správcovskej politiky, z pripájacieho skriptu alebo z úplne iného klienta. Odstránenie živého záznamu môže potvrdiť jeho význam, ale ďalšie pripojenie ho znova vytvorí z uloženej konfigurácie, takže meniť sa musí zdroj.

Najprv skontrolujte zoznam trás profilu, potom správcovskú politiku, potom akýkoľvek skript spúšťaný pri pripojení. Toto poradie zodpovedá tomu, ako často sa ktorý ukáže byť zodpovedný. Udržuje tiež zmenu v jednej vrstve namiesto troch.

Pozorne si prečítajte natívne správanie založené na triedach

Natívne profily Windows majú dokumentované nastavenie NativeProfile/DisableClassBasedDefaultRoute, ktoré riadi automatickú trasu odvodenú z adresy rozhrania. Adresa profilu začínajúca na 45 môže pri tomto správaní vytvoriť záznam 45.0.0.0/8, a tak jedna verejná adresa zachytí celý rozsah triedy A.

Názov vlastnosti zvádza k chybnému čítaniu: nastavenie na true odvodenie vypne a false ho zapne. Nie je to ani rovnaký objekt ako predvolená trasa a neriadi klientov tretích strán, ktorí inštalujú vlastné prefixy.

Ak je odvodenie preukázanou príčinou, opravte profil prostredníctvom jeho správcu a výslovne uveďte zamýšľané súkromné prefixy. Ak záznam pridal skript, opravte skript. Nahradenie jednej nevysvetlenej širokej trasy inou mení príznak bez odpovede na otázku.

Opravte zdroj a potom znova skontrolujte obe cesty

Po zmene sa znova pripojte a zopakujte vyhľadanie pre zlyhávajúci verejný web a pre zdroj, ktorý musí používať tunel. Prvý by sa teraz mal preložiť na fyzické rozhranie a druhý by mal stále voliť VPN. Nezastavujte sa pri prvom úspechu; oprava, ktorá zároveň rozbije súkromný prístup, vymenila jednu poruchu za druhú.

Súčasne skontrolujte adresný plán servera. Pula prekrývajúca sa s verejným priestorom spôsobuje tento druh problému znova a znova. Rozsah, ktorý operátor zvolil zámerne, si zaslúži iný rozhovor, nie automatické prečíslovanie.

Zvýšenie MTU alebo vymazanie DNS neopraví prefix, ktorý túto adresu stále posiela do tunela. Najprv otestujte výber, potom cestu.