Pse tabela e rrugëzimit të VPN-së në Windows shfaq 0.0.0.0/1 dhe 128.0.0.0/1

Lidhuni me një VPN të Windows dhe hapni tabelën e rrugëzimit, dhe dy zëra bien në sy: 0.0.0.0/1 dhe 128.0.0.0/1. Nuk janë gabim shtypi dhe nuk zëvendësojnë rrugën e parazgjedhur. Shfaqja e tyre varet nga një opsion profili, dhe çifti është mënyra se si ndërtohet një tunel i plotë, jo një funksion i tunelit të ndarë. Lexoni opsionin, prefiksin dhe ndërfaqen së bashku përpara se të ndryshoni edhe një rresht të vetëm.

Çfarë instalon opsioni i portës së parazgjedhur

Opsioni i profilit që dërgon gjithçka përmes tunelit funksionon duke shtuar ata dy prefiksa. Hiqni opsionin dhe ato zhduken, duke lënë një rrugë që mbulon vetëm nënrrjetin që i është dhënë përshtatësit të tunelit. Kutia e zgjedhjes kontrollon çiftin; ajo nuk e rishkruan rrugën e vetme të parazgjedhur. Kjo është arsyeja pse tabela pas heqjes së shenjës duket si një rishkrim i pjesshëm dhe jo si një fshirje.

0.0.0.0/1 mbulon gjysmën e poshtme të hapësirës IPv4 dhe 128.0.0.0/1 gjysmën e sipërme, kështu që së bashku mbulojnë çdo adresë unicast. Secili është më specifik se një rrugë e parazgjedhur 0.0.0.0/0, që do të thotë se përputhja e prefiksit më të gjatë e dërgon trafikun e zakonshëm në tunel ndërsa rruga fizike e parazgjedhur mbetet aty ku ishte. Mbajtja e asaj rrugë të parazgjedhur nuk është kozmetikë: paketat që mbështjellin ngarkesën e kriptuar adresohen drejt adresës publike të serverit dhe duhet të dalin përmes përshtatësit fizik. Zëvendësoni rrugën e parazgjedhur në vend që ta ndani, dhe transporti i vetë tunelit do të përpiqet të hyjë në tunel, që është një lak dhe jo një lidhje.

Prandaj një 0.0.0.0/0 fjalë për fjalë që tregon përshtatësin VPN ia vlen të ndalosh. Klienti amë nuk shkruan zakonisht diçka të tillë, kështu që një rrugë manuale ose konfigurimi i një klienti tjetër e ka ndryshuar tabelën pas shpine. Gjeni atë përpara se të korrigjoni ndonjë gjë më poshtë.

Çmontimi është më i lirë se ruajtja e një porte

Çmontimi është argumenti praktik për dy zëra në vend të një. Klienti zotëron saktësisht dy rrugë ndërsa është i lidhur dhe i fshin ato kur shkëputet, duke lënë atë që përshtatësi fizik mban në atë moment. Një klient që do të kishte zëvendësuar të vetmin parazgjedhur do të duhej të kujtonte portën e mëparshme, dhe pas një ndryshimi të qirasë DHCP mund të rivendoste një që nuk ekziston më. Dy zëra të zotëruar nuk mbajnë një gjendje të tillë.

Klientë të tjerë arrijnë të njëjtin dizajn. Një profil OpenVPN me redirect-gateway def1 instalon ata dy prefiksa në vend që të fshijë parazgjedhurin, dhe klienti Windows ndjek të njëjtin model për të njëjtën arsye rrugëzimi.

Kjo është edhe arsyeja pse një tabelë mund të duket si tunel i plotë kur prisnit një ndarje. Çifti është mënyra se si ndërtohet tuneli i plotë, jo provë e një gabimi të tunelit të ndarë. Nëse profili është vendosur të përdorë portën e largët, gjithçka rrugëzohet, çfarëdo që një aplikacion lokal arrin ende.

Prefiksi më i gjatë fiton përpara çdo metrike

Gjatësia e prefiksit vendos kërkimin përpara çdo fushe tjetër. Metrika thjesht zgjidh barazimet midis rrugëve me prefiks identik, kështu që një zë /1 mposht një parazgjedhur /0 edhe kur metrika e tij është më e keqe. Lidhja me ndërfaqen vendos çfarë mbetet kur dy rrugë ndajnë një prefiks dhe Windows duhet të zgjedhë cili përshtatës e dërgon paketën.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Një tabelë e tunelit të ndarë mban parazgjedhurin fizik, dy gjysmë-parazgjedhurit, rrugën për nënrrjetin e tunelit dhe çdo prefiks zyre që keni shtuar. Parazgjedhuri fizik mund të qëndrojë në një metrikë më të ulët ose më të lartë në varësi të klientit dhe profilit, dhe për sa kohë ekziston çifti /1 ai ndryshim nuk ndryshon asgjë. Ndryshon gjithçka në momentin kur çifti hiqet, dhe atëherë del në shesh një portë e vjetruar ose një ndërfaqe e gabuar. Lexoni të gjithë tabelën dhe jo rreshtin që prisnit të ndryshonit.

Zgjidhni një pronar të vetëm për prefiksin e zyrës

Për një tunel të ndarë, emërtoni vetëm prefiksin që duhet të përdorë VPN-në dhe zgjidhni një mënyrë për ta zotëruar. Drejtimi i rrugës drejt adresës së caktuar të tunelit funksionon derisa ajo adresë të ndryshojë, ndërsa lidhja me ndërfaqen i mbijeton ndryshimit të adresës por thyhet kur indeksi ricaktohet pas rindërtimit të profilit. Cmdlet-i i lidhur me profilin shmang të dy problemet, me koston që kërkohet profili.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdlet-i e lidh prefiksin me profilin e emërtuar, kështu që rruga shfaqet me lidhjen dhe largohet me të, gjë që dëshiron një laptop i menaxhuar. Një rrugë e përhershme i mbijeton rindezjeve dhe i mbijeton profilit që e motivoi, dhe kështu një VPN i tërhequr lë zëra për vite me radhë. Zgjidhni një metodë për prefiks dhe shënoni zgjedhjen, sepse një rrugë e përhershme plus një rrugë profili për të njëjtin prefiks prodhojnë dublikata që janë të dhimbshme për t’i zgjidhur gjatë çmontimit. Çfarëdo që zgjidhni, pronësia duhet të jetë e dukshme në tiketë dhe jo vetëm në makinë.

Pronësia është pyetja së cilës i përgjigjet ky seksion, jo sintaksa. Dy pronarë për një prefiks është mënyra e dështimit që ia vlen të shmanget.

Verifikoni me një destinacion, jo me një faqe interneti

Testoni destinacionin që duhet të kalojë tunelin, jo një faqe interneti që raporton një adresë daljeje. Find-NetRoute kthen rrugën e zgjedhur dhe adresën e burimit, kështu që shihni nëse fitoi prefiksi i zyrës apo parazgjedhuri fizik, dhe më pas hapni vetë ndarjen.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Një faqe me adresë daljeje është një kontroll i dobët, sepse DNS, IPv6 dhe një proxy shfletuesi mund ta dërgojnë secili atë kërkesë në një rrugë tjetër. IPv4 dhe IPv6 kanë gjithashtu cilësime të veçanta në të njëjtin dialog, dhe zbrazja e një kutie e lë familjen tjetër të paprekur, kështu që një makinë me stivë të dyfishtë mund të barti IPv6 përmes tunelit ndërsa IPv4 ndjek rrugën e ndarë. Kontrolloni të dyja familjet përpara se ta quani profilin të ndarë. Nëse rruga është e saktë dhe shërbimi dështon përsëri, shtresa e mbetur është filtrimi dhe jo rrugëzimi.

Një firewall i menaxhuar nga klienti mund të bllokojë nënrrjetin e zyrës me një tabelë rrugëzimi të përsosur. Ajo politikë i takon atij që e shpërndau profilin, jo personit që redakton rrugët.