Зашто широка VPN рута квари неколико јавних сајтова

Већина страница се учита, две или три истекну, а прегледач окривљује везу. Сајтови који не раде имају нешто заједничко што радни немају: њихове разрешене адресе падају унутар префикса који је инсталирао VPN. Рута довољно широка да покрије јавни опсег захватиће саобраћај који тунел никада није требало да преноси, а симптом изгледа као проблем сајта, а не као одлука о рутирању.

Разрешите име које не ради, па погледајте табелу рутирања, а не прегледач.

Упоредите адресу, не име сајта

Пронађите адресу коју је клијент заиста покушао, па проверите која рута јој одговара. Одредиште унутар 45.61.20.10 пада под 45.0.0.0/8 ако је тај префикс присутан, иако сам сајт нема никакве везе с тунелом. Поређење адресе која не ради с инсталираним префиксима је задатак одузимања, а не нагађање.

Windows може директно да одговори на обе половине, а претрага показује који су интерфејс и следећи хоп победили у избору. Разрешите име двапут ако сајт враћа више адреса. Запишите сваку са рутом која јој је одговарала. Различите адресе могу дати различите одговоре, а само једна од њих може бити случај који не ради.

Resolve-DnsName www.example.org
Get-NetRoute -AddressFamily IPv4 | Select-Object DestinationPrefix,InterfaceIndex,NextHop,RouteMetric
Find-NetRoute -RemoteIPAddress 45.61.20.10
Get-VpnConnection | Format-List Name,SplitTunneling,Routes

Читајте најспецифичнији одговарајући префикс, а не први ред који изгледа познато. Рута присутна у табели не доказује да је победила у претрази; то чини најдуже подударање. Два префикса могу да одговарају једној адреси, а само један од њих прима пакет. Губитник остаје у табели и изгледа једнако стварно на списку.

Запишите префикс, његов интерфејс и разрешену адресу. Те три вредности су цела дијагноза.

Откријте ко је инсталирао руту

Руте долазе са четири места: из изворног VPN профила, управљачке политике, скрипте за везу или потпуно другог клијента. Брисање живог уноса може потврдити његову важност, али следећа веза га поново ствара из сачуване конфигурације, па извор треба мењати.

Прво проверите листу рута профила, затим управљачку политику, затим сваку скрипту која се покреће при повезивању. Тај редослед одговара томе колико се често свака покаже одговорном. Он такође држи промену на једном слоју уместо на три.

Пажљиво прочитајте изворно понашање засновано на класи

Изворни Windows профили имају документовано подешавање NativeProfile/DisableClassBasedDefaultRoute, које контролише аутоматску руту изведену из адресе интерфејса. Адреса профила која почиње с 45 може под тим понашањем да створи унос 45.0.0.0/8, и тако једна јавна адреса захвата цео опсег класе А.

Име својства наводи на погрешно читање: постављено на true искључује извођење, а false га укључује. Оно такође није исти објекат као подразумевана рута и не управља клијентима трећих страна који инсталирају сопствене префиксе.

Ако је извођење доказани узрок, поправите профил преко његовог управљачког власника и изричито наведите предвиђене приватне префиксе. Ако је унос додала скрипта, поправите скрипту. Замена једне необјашњене широке руте другом мења симптом без одговора на питање.

Поправите извор, па поново проверите оба пута

Након промене поново се повежите и поновите претрагу за јавни сајт који не ради и за ресурс који мора да користи тунел. Први би сада требало да се разреши на физички интерфејс, а други би и даље требало да бира VPN. Не заустављајте се на првом успеху; поправка која уништи и приватни приступ заменила је једну грешку другом.

Истовремено прегледајте план адреса сервера. Базен који се преклапа са јавним простором изазива ову врсту проблема изнова и изнова. Опсег који је оператер намерно изабрао заслужује други разговор, а не аутоматско пренумерисање.

Повећање MTU-а или чишћење DNS-а неће исправити префикс који ту адресу и даље усмерава у тунел. Прво тестирајте избор, затим пут.