Зашто ваша Windows VPN табела рута приказује 0.0.0.0/1 и 128.0.0.0/1

Повежите се на Windows VPN и отворите табелу рутирања, и два уноса се истичу: 0.0.0.0/1 и 128.0.0.0/1. Они нису штампарска грешка и не замењују подразумевану руту. Њихово појављивање зависи од једне опције профила, а пар је начин на који се гради потпун тунел, а не функција подељеног тунела. Прочитајте опцију, префикс и интерфејс заједно пре него што промените иједну линију.

Шта инсталира опција подразумеваног гејтвеја

Опција профила која све шаље кроз тунел ради тако што додаје та два префикса. Уклоните опцију и они нестају, остављајући руту која покрива само подмрежу додељену адаптеру тунела. Поље за потврду контролише пар; оно не преписује једину подразумевану руту. Зато табела после уклањања ознаке изгледа као делимично преписивање, а не као брисање.

0.0.0.0/1 покрива доњу половину IPv4 простора, а 128.0.0.0/1 горњу половину, па заједно покривају сваку уницаст адресу. Сваки је прецизнији од подразумеване руте 0.0.0.0/0, што значи да подударање најдужег префикса шаље обичан саобраћај у тунел, док физичка подразумевана рута остаје тамо где је била. Задржавање те подразумеване руте није козметика: пакети који обавијају шифрирани терет адресирани су на јавну адресу сервера и морају да изађу кроз физички адаптер. Замените подразумевану руту уместо да је делите, и транспорт самог тунела ће покушати да уђе у тунел, што је петља, а не веза.

Зато буквални 0.0.0.0/0 који показује на VPN адаптер вреди зауставити. Уграђени клијент обично не пише такво нешто, па је ручна рута или конфигурација другог клијента променила табелу иза ваших леђа. Пронађите је пре него што почнете да отклањате грешке било где испод.

Демонтажа је јефтинија од чувања гејтвеја

Демонтажа је практични аргумент за два уноса уместо једног. Клијент поседује тачно две руте док је повезан и брише их при искључивању, остављајући оно што физички адаптер држи у том тренутку. Клијент који би заменио једину подразумевану руту морао би да памти претходни гејтвеј, а после промене DHCP закупа могао би да врати онај који више не постоји. Два сопствена уноса не носе такво стање.

Други клијенти долазе до истог дизајна. OpenVPN профил са redirect-gateway def1 инсталира та два префикса уместо да избрише подразумевану руту, а Windows клијент следи исти образац из истог разлога рутирања.

Зато и табела може изгледати као потпун тунел када сте очекивали поделу. Пар је начин на који се гради потпун тунел, а не доказ грешке при подељеном тунелу. Ако је профил подешен да користи удаљени гејтвеј, све се рутира, шта год једна локална апликација још успе да достигне.

Најдужи префикс побеђује пре било које метрике

Дужина префикса одлучује о претрази пре било ког другог поља. Метрика само решава нерешено између рута с идентичним префиксом, па унос /1 побеђује подразумевану /0 и када му је метрика лошија. Везивање за интерфејс одлучује шта остаје када две руте деле префикс и Windows мора да изабере који адаптер шаље пакет.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Табела подељеног тунела садржи физичку подразумевану руту, две половичне подразумеване, руту за подмрежу тунела и сваки канцеларијски префикс који сте додали. Физичка подразумевана рута може бити на нижој или вишој метрици у зависности од клијента и профила, и док год постоји пар /1 та разлика ништа не мења. Она мења све у тренутку када се пар уклони, и тада се појави застарео гејтвеј или погрешан интерфејс. Читајте целу табелу, а не ону једну линију коју сте очекивали да промените.

Изаберите једног власника канцеларијског префикса

За подељени тунел именујте само префикс који мора да користи VPN и изаберите један начин да га поседујете. Усмеравање руте на додељену адресу тунела ради док се та адреса не промени, док везивање за интерфејс преживљава промену адресе, али се крши када се индекс поново додели након поновне изградње профила. Cmdlet везан за профил избегава оба проблема, по цену потребе за профилом.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdlet везује префикс за именовани профил, па се рута појављује са везом и одлази с њом, што управљани преносни рачунар и жели. Трајна рута преживљава рестартовања и преживљава профил који ју је изазвао, и тако пензионисани VPN оставља уносе годинама. Изаберите једну методу по префиксу и запишите избор, јер трајна рута плус профилна рута за исти префикс стварају дупликате које је болно размрсити при демонтажи. Шта год да изаберете, власништво треба да буде видљиво у тикету, а не само на машини.

Власништво је питање на које овај одељак одговара, а не синтакса. Два власника за један префикс је режим отказа који вреди избећи.

Проверите са дестинацијом, не са веб-сајтом

Тестирајте дестинацију која мора да прође кроз тунел, а не веб-сајт који пријављује излазну адресу. Find-NetRoute враћа изабрану руту и изворну адресу, па видите да ли је победио канцеларијски префикс или физичка подразумевана рута, а затим отворите саму дељену локацију.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Веб-сајт са излазном адресом је слаба провера, јер DNS, IPv6 и прокси прегледача могу свако да пошаљу тај захтев другим путем. IPv4 и IPv6 имају и одвојена подешавања у истом дијалогу, а пражњење једног поља оставља другу фамилију нетакнутом, па машина са двоструким стеком може да носи IPv6 кроз тунел док IPv4 следи подељену руту. Проверите обе фамилије пре него што профил назовете подељеним. Ако је рута исправна, а услуга и даље не ради, преостали слој је филтрирање, а не рутирање.

Заштитни зид којим управља клијент може да блокира канцеларијску подмрежу и са савршеном табелом рута. Та политика припада онима који су распоредили профил, а не особи која уређује руте.