Prečo vaša smerovacia tabuľka VPN vo Windows zobrazuje 0.0.0.0/1 a 128.0.0.0/1

Voľba predvolenej brány pridáva dve polovičné predvolené trasy, nie jednu. Prečítajte si prefix, metriku a rozhranie, skôr než na klientovi pridáte alebo odoberiete trasu.

Pripojte sa k VPN v systéme Windows a otvorte smerovaciu tabuľku, a dve položky vyniknú: 0.0.0.0/1 a 128.0.0.0/1. Nie sú preklepom a nenahrádzajú predvolenú trasu. Ich zobrazenie závisí od jednej voľby profilu, a dvojica je spôsob, akým sa zostavuje úplný tunel, nie funkcia rozdeleného tunela. Prečítajte si voľbu, prefix a rozhranie spolu, skôr než zmeníte jediný riadok.

Čo inštaluje voľba predvolenej brány

Voľba profilu, ktorá posiela všetko cez tunel, funguje tak, že pridá tieto dva prefixy. Zrušte voľbu a zmiznú, ostane trasa pokrývajúca len podsieť pridelenú adaptéru tunela. Začiarkavacie políčko ovláda dvojicu; neprepisuje jedinú predvolenú trasu. Preto tabuľka po odškrtnutí vyzerá ako čiastočné prepísanie, nie ako vymazanie.

0.0.0.0/1 pokrýva spodnú polovicu priestoru IPv4 a 128.0.0.0/1 hornú polovicu, takže spolu pokrývajú každú unicastovú adresu. Každá je konkrétnejšia ako predvolená trasa 0.0.0.0/0, čo znamená, že zhoda najdlhšieho prefixu posiela bežnú prevádzku do tunela, zatiaľ čo fyzická predvolená trasa zostáva tam, kde bola. Zachovať tú predvolenú trasu nie je kozmetika: pakety, ktoré obaľujú šifrovaný obsah, sú adresované na verejnú adresu servera a musia odísť cez fyzický adaptér. Nahraďte predvolenú trasu namiesto jej rozdelenia, a transport samotného tunela sa pokúsi vstúpiť do tunela, čo je slučka a nie spojenie.

Preto sa doslovná 0.0.0.0/0 ukazujúca na adaptér VPN oplatí zastaviť. Natívny klient zvyčajne takú nezapisuje, takže tabuľku za vašimi chrbtom zmenila ručná trasa alebo konfigurácia iného klienta. Nájdite ju skôr, než začnete ladit čokoľvek nižšie.

Demontáž je lacnejšia ako uložená brána

Demontáž je praktický argument za dve položky namiesto jednej. Klient vlastní presne dve trasy, kým je pripojený, a pri odpojení ich vymaže, takže zostane to, čo fyzický adaptér v tej chvíli drží. Klient, ktorý by nahradil jedinú predvolenú trasu, by si musel pamätať predchádzajúcu bránu a po zmene lízingu DHCP by mohol obnoviť takú, ktorá už neexistuje. Dve vlastnené položky taký stav nenesú.

Iní klienti dospeli k rovnakému návrhu. Profil OpenVPN s redirect-gateway def1 nainštaluje tieto dva prefixy namiesto vymazania predvolenej trasy a klient Windows nasleduje rovnaký vzor z rovnakého dôvodu smerovania.

Preto môže tabuľka vyzerať ako úplný tunel, keď ste čakali rozdelenie. Dvojica je spôsob, akým sa úplný tunel zostavuje, nie dôkaz chyby rozdeleného tunela. Ak je profil nastavený na používanie vzdialenej brány, smeruje sa všetko, čokoľvek jedna lokálna aplikácia ešte dosiahne.

Najdlhší prefix vyhráva pred akoukoľvek metrikou

Dĺžka prefixu rozhoduje o vyhľadaní pred akýmkoľvek iným poľom. Metrika len rozbíja remízu medzi trasami s identickým prefixom, takže položka /1 porazí predvolenú /0 aj vtedy, keď má horšiu metriku. Väzba na rozhranie rozhoduje o tom, čo zostane, keď dve trasy zdieľajú prefix a Windows musí vybrať, ktorý adaptér paket odošle.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Tabuľka rozdeleného tunela obsahuje fyzickú predvolenú trasu, dve polovičné predvolené, trasu pre podsieť tunela a akýkoľvek kancelársky prefix, ktorý ste pridali. Fyzická predvolená trasa môže mať nižšiu alebo vyššiu metriku v závislosti od klienta a profilu, a kým dvojica /1 existuje, tento rozdiel nič nemení. Zmení všetko v okamihu, keď sa dvojica odstráni, a vtedy sa vynorí zastaraná brána alebo nesprávne rozhranie. Čítajte celú tabuľku a nie ten jeden riadok, ktorý ste čakali zmeniť.

Vyberte jedného vlastníka kancelárskeho prefixu

Pre rozdelený tunel pomenujte len prefix, ktorý musí používať VPN, a vyberte jeden spôsob, ako ho vlastniť. Smerovanie trasy na pridelenú adresu tunela funguje, kým sa táto adresa nezmení, zatiaľ čo väzba na rozhranie prežije zmenu adresy, ale zlomí sa, keď sa index po prestavbe profilu pridelí znova. Cmdlet viazaný na profil sa vyhýba obom problémom za cenu potreby profilu.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdlet viaže prefix na pomenovaný profil, takže trasa sa objaví so spojením a odíde s ním, čo spravovaný notebook chce. Trvalá trasa prežije reštarty a prežije profil, ktorý ju vyvolal, a tak vyradená VPN necháva položky roky za sebou. Vyberte jednu metódu na prefix a voľbu poznamenajte, pretože trvalá trasa plus trasa z profilu pre ten istý prefix vytvárajú duplikáty, ktoré sa pri demontáži bolestne rozpletajú. Čokoľvek si vyberiete, vlastníctvo má byť viditeľné v tikete, nielen na stroji.

Vlastníctvo je otázka, na ktorú táto časť odpovedá, nie syntax. Dvaja vlastníci pre jeden prefix je režim zlyhania, ktorému sa oplatí vyhnúť.

Overujte cieľom, nie webovou stránkou

Testujte cieľ, ktorý musí prejsť tunelom, nie web, ktorý hlási výstupnú adresu. Find-NetRoute vracia zvolenú trasu a zdrojovú adresu, takže vidíte, či vyhral kancelársky prefix alebo fyzická predvolená trasa, a potom otvoríte samotné zdieľanie.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Web s výstupnou adresou je slabá kontrola, pretože DNS, IPv6 a proxy prehliadača môžu túto požiadavku poslať každý inou cestou. IPv4 a IPv6 majú v tom istom dialógu aj oddelené nastavenia a zrušenie jedného políčka nechá druhú rodinu nedotknutú, takže stroj s duálnym zásobníkom môže niesť IPv6 tunelom, zatiaľ čo IPv4 sleduje rozdelenú trasu. Skontrolujte obe rodiny, skôr než profil označíte za rozdelený. Ak je trasa správna a služba stále zlyháva, zostávajúcou vrstvou je filtrovanie, nie smerovanie.

Firewall spravovaný klientom môže zablokovať kancelársku podsieť aj s dokonalou smerovacou tabuľkou. Táto politika patrí tomu, kto profil rozšíril, nie človeku, ktorý upravuje trasy.

Súvisiace články