Zakaj vaša tabela usmerjanja VPN v sistemu Windows prikazuje 0.0.0.0/1 in 128.0.0.0/1

Povežite se z VPN v sistemu Windows in odprite tabelo usmerjanja, in dva vnosa izstopata: 0.0.0.0/1 in 128.0.0.0/1. Nista tipkarska napaka in ne nadomeščata privzete poti. Ali se prikažeta, je odvisno od ene možnosti profila, par pa je način, kako se zgradi polni tunel, ne funkcija razdeljenega tunela. Preden spremenite eno samo vrstico, preberite možnost, predpono in vmesnik skupaj.

Kaj namesti možnost privzetih vrat

Možnost profila, ki pošilja vse skozi tunel, deluje tako, da doda ti dve predponi. Odstranite možnost in izgineta, ostane pot, ki pokriva le podomrežje, dodeljeno vmesniku tunela. Potrditveno polje upravlja par; ne prepiše edine privzete poti. Zato je tabela po odkljukanju videti kot delno prepisovanje in ne kot brisanje.

0.0.0.0/1 pokriva spodnjo polovico prostora IPv4 in 128.0.0.0/1 zgornjo polovico, zato skupaj pokrivata vsak unicasni naslov. Vsaka je bolj specifična od privzete poti 0.0.0.0/0, kar pomeni, da ujemanje najdaljše predpone pošlje običajni promet v tunel, medtem ko fizična privzeta pot ostane tam, kjer je bila. Obdržati to privzeto pot ni kozmetika: paketi, ki ovijajo šifrirani tovor, so naslovljeni na javni naslov strežnika in morajo oditi skozi fizični vmesnik. Zamenjajte privzeto pot, namesto da bi jo delili, in promet samega tunela bo poskušal vstopiti v tunel, kar je zanka in ne povezava.

Zato se je vredno ustaviti ob dobesednem 0.0.0.0/0, ki kaže na vmesnik VPN. Izvorni odjemalec tega običajno ne zapisuje, zato je ročna pot ali konfiguracija drugega odjemalca spremenila tabelo za vašim hrbtom. Poiščite jo, preden razhroščujete karkoli spodaj.

Razstavljanje je cenejše od shranjevanja prehoda

Razstavljanje je praktični argument za dva vnosa namesto enega. Odjemalec ima med povezavo natanko dve poti in ju ob prekinitvi izbriše, tako da ostane tisto, kar ima fizični vmesnik v tistem trenutku. Odjemalec, ki bi zamenjal edino privzeto pot, bi si moral zapomniti prejšnji prehod, po spremembi najema DHCP pa bi lahko obnovil takega, ki ne obstaja več. Dva lastna vnosa ne nosita takega stanja.

Drugi odjemalci pridejo do enake zasnove. Profil OpenVPN z redirect-gateway def1 namesti ti dve predponi, namesto da bi izbrisal privzeto pot, in odjemalec Windows sledi istemu vzorcu iz istega razloga usmerjanja.

Zato je lahko tabela videti kot polni tunel, ko ste pričakovali razdelitev. Par je način, kako se zgradi polni tunel, ne dokaz napake razdeljenega tunela. Če je profil nastavljen na uporabo oddaljenih vrat, se usmerja vse, kar koli še doseže ena lokalna aplikacija.

Najdaljša predpona zmaga pred vsako metriko

Dolžina predpone odloči o iskanju pred katerim koli drugim poljem. Metrika le razreši izenačenje med potmi z enako predpono, zato vnos /1 premaga privzeto /0 tudi ko je njegova metrika slabša. Vezava na vmesnik odloči, kaj ostane, ko si dve poti delita predpono in mora Windows izbrati, kateri vmesnik pošlje paket.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Tabela razdeljenega tunela vsebuje fizično privzeto pot, dve pollastni privzeti poti, pot za podomrežje tunela in vsako pisarniško predpono, ki ste jo dodali. Fizična privzeta pot je lahko na nižji ali višji metriki, odvisno od odjemalca in profila, in dokler par /1 obstaja, ta razlika ničesar ne spremeni. Vse spremeni v trenutku, ko par odstranite, in takrat se pojavi zastarel prehod ali napačen vmesnik. Berite celo tabelo in ne tisto eno vrstico, ki ste jo pričakovali spremeniti.

Izberite enega lastnika pisarniške predpone

Za razdeljeni tunel poimenujte samo predpono, ki mora uporabljati VPN, in izberite en način, kako jo imeti. Usmerjanje poti na dodeljeni naslov tunela deluje, dokler se ta naslov ne spremeni, medtem ko vezava na vmesnik preživi spremembo naslova, a se zlomi, ko se indeks po ponovni izgradnji profila dodeli znova. Cmdlet, vezan na profil, se izogne obema težavama za ceno potrebe po profilu.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdlet veže predpono na imenovani profil, zato se pot pojavi s povezavo in odide z njo, kar želi upravljani prenosnik. Trajna pot preživi ponovne zagone in preživi profil, ki jo je sprožil, in tako upokojeni VPN leta pušča vnose. Izberite eno metodo na predpono in izbiro zapišite, ker trajna pot plus profilna pot za isto predpono ustvarita dvojnike, ki jih je pri razstavljanju boleče razvozlati. Karkoli izberete, lastništvo mora biti vidno v zahtevku in ne le na stroju.

Lastništvo je vprašanje, na katero odgovarja ta razdelek, ne skladnja. Dva lastnika za eno predpono je način odpovedi, ki se mu je vredno izogniti.

Preverjajte s ciljem, ne s spletnim mestom

Preizkusite cilj, ki mora prečkati tunel, ne spletnega mesta, ki poroča izhodni naslov. Find-NetRoute vrne izbrano pot in izvorni naslov, tako da vidite, ali je zmagala pisarniška predpona ali fizična privzeta pot, nato pa odprete samo mapo v skupni rabi.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Spletno mesto z izhodnim naslovom je šibka kontrola, ker lahko DNS, IPv6 in posrednik brskalnika to zahtevo pošljejo vsak po drugi poti. IPv4 in IPv6 imata v istem pogovornem oknu tudi ločene nastavitve, poleg tega pa počistitev enega polja pusti drugo družino nedotaknjeno, zato lahko stroj z dvojnim skladom vodi IPv6 skozi tunel, medtem ko IPv4 sledi razdeljeni poti. Preverite obe družini, preden profil označite za razdeljen. Če je pot pravilna in storitev še vedno odpove, je preostala plast filtriranje in ne usmerjanje.

Požarni zid, ki ga upravlja odjemalec, lahko blokira pisarniško podomrežje s popolno tabelo usmerjanja. Ta politika pripada tistemu, ki je profil razporedil, ne osebi, ki ureja poti.