Kwa nini subnet moja bado inaikwepa njia chaguo-msingi ya VPN yako

Unabadilisha VPN kwenda handaki kamili, trafiki nyingi inatii, kisha anwani moja inajibu moja kwa moja — printa, NAS, mwenyeji wa kuruka kwenye 10.x. Tafsiri iliyo wazi ni kwamba handaki linavuja, kwa hivyo unapunguza kipimo cha njia chaguo-msingi na hakuna kinachobadilika. Jaribio hilo lililoshindikana ndilo kidokezo: njia chaguo-msingi ni njia mbadala, si hukumu. Utafutaji wa njia huchukua kiambishi awali kirefu zaidi kinacholingana kabla ya kulinganisha vipimo vyovyote, kwa hivyo /24 inaendelea kushinda /0, haijalishi ni nambari gani unaiambatanisha na yoyote yao. Mara mpangilio huo ukiwa wazi, uvujaji kwa kawaida ni njia ambayo mtu aliisakinisha kwa makusudi, au kiambishi awali ambacho mteja hakuwahi kukusudia kukifunika.

Njia chaguo-msingi inaahidi nini kweli

0.0.0.0/0 inalingana na kila lengwa la IPv4 likiwa na biti sifuri za ubainifu. Ipo ili mwenyeji afikie chochote ambacho jedwali lake halielezi vyema zaidi. Njia kwenda 192.168.1.0/24 hubeba biti 24 zinazolingana, kwa hivyo kwa 192.168.1.40 inashinda kabla mtu yeyote kulinganisha vipimo, umbali wa kiutawala au chochote ambacho mteja hukiita sehemu ya kipaumbele. Kanuni hiyo hiyo inatumika katika Linux FIB, jedwali la uelekezaji la Windows na stack ya BSD nyuma ya macOS.

Kwenye LAN ya kawaida tabia hiyo ni kipengele. Subnet ya ndani imeunganishwa moja kwa moja, printa inaendelea kufanya kazi wakati handaki linabeba uvinjari wako, na hakuna kilichosanidiwa vibaya. Swali linalofaa kuulizwa si kwa nini anwani hiyo moja inapita moja kwa moja, bali ni kiambishi awali kipi katika jedwali gani kinacholingana nayo, na nani aliweka hapo.

Nusu-chaguo-msingi, au kwa nini ingizo chaguo-msingi linaweza kuonekana halijaguswa

Mfano safi zaidi ni redirect-gateway def1 katika OpenVPN. Badala ya kufuta na kubadilisha chaguo-msingi lako, inaongeza 0.0.0.0/1 na 128.0.0.0/1. Kwa pamoja jozi hilo linafunika IPv4 yote, kila kiambishi awali ni kirefu kuliko /0, na zote mbili zinashinda chaguo-msingi cha router huku zikiliacha mahali pake. Endesha orodha ya njia baadaye na njia ya awali chaguo-msingi bado ipo, bado inaelekeza kwenye lango lako; inachaguliwa tu kamwe kwa malengo ya mtandao.

wg-quick ya WireGuard inafikia matokeo sawa kupitia uelekezaji unaotegemea sera. AllowedIPs inapofunika 0.0.0.0/0 inaunda jedwali lake, inatuma pakiti zilizowekwa alama huko, na inaongeza kanuni inayopuuza kiambishi awali cha urefu sifuri cha jedwali kuu. Jedwali kuu linahifadhi ingizo lake chaguo-msingi, na kanuni zinaamua kwamba jedwali la handaki linashauriwa kwanza kwa trafiki inayomilikiwa na kiolesura.

Miundo yote miwili inahitaji njia moja hasa nje ya handaki: njia ya mwenyeji kwenda anwani ya seva ya VPN yenyewe kupitia lango la awali. Bila hiyo mteja angejaribu kubeba pakiti zinazojenga handaki ndani ya handaki, na muunganisho haungekamilika kamwe. Kwa hivyo njia isiyo ya handaki katika jedwali lako ni ya kawaida hata kwenye wasifu mkali wa handaki kamili. Njia zinazostahili kuhojiwa ni zile zinazofunika malengo ambayo unayajali kweli.

Vipimo huamua sare, viambishi awali huamua washindi

Vipimo hulinganishwa tu kati ya wagombea wanaolingana na lengwa kwa usawa sawa. Kwenye Linux ip route get 10.20.5.9 huchapisha mshindi pamoja na jedwali lake, na ip route show table all huorodhesha wagombea, ikiwa ni pamoja na nusu-chaguo-msingi yoyote na jedwali lolote ambalo kanuni inaelekeza. Kwenye Windows Find-NetRoute -RemoteIPAddress 10.20.5.9 hurudisha njia iliyochaguliwa na anwani chanzo, wakati Get-NetRoute huonyesha jedwali ghafi — lakini gharama yenye matokeo ni kipimo cha njia pamoja na kipimo cha kiolesura, kwa hivyo adapta ya polepole inaweza kupoteza sare inayoonekana kuishinda.

Kesi tatu hufunika sehemu kubwa ya kile utakachokiona:

• Lengo moja, /24 dhidi ya /0: /24 inashinda kwa urefu wa kiambishi awali, vipimo vyovyote vinavyosema.
• Lengo moja, /24 mbili zenye vipimo tofauti: kipimo chenye matokeo cha chini kinashinda.
• Lengo moja, majedwali mawili, moja limechaguliwa na kanuni ya sera: kanuni huchagua jedwali kwanza, na ulinganisho wa viambishi awali hufanyika ndani yake.

Kesi ya tatu ndipo ambapo ripoti hizi nyingi huishia. ip rule ya Linux au kichujio cha trafiki cha VPN cha Windows kinaweza kutuma trafiki kwenye jedwali ambalo halikuwahi kushikilia chaguo-msingi cha handaki, na jedwali kuu linaonekana kamili wakati wote.

Nani kwa kawaida anamiliki upitaji

Anza na wasifu, si jedwali. Misanidi ya split-tunnel na mipangilio ya VPN kwa kila programu huacha viambishi awali vilivyotajwa nje ya handaki kwa makusudi; wasifu wa kazi unaolinda subnet moja ya kibinafsi na kuacha uvinjari wa jumla upite moja kwa moja hujiendesha kama ilivyoundwa, na kuubadilisha kunavunja sera ambayo ulijengwa kuitekeleza. Mwongozo wa uelekezaji wa VPN wa Microsoft unachora mstari huo huo kati ya trafiki iliyolazimishwa kwenye handaki na vighairi vilivyo wazi, jambo linaloufanya kuwa ukaguzi mtambuka unaofaa kabla ya kubadilisha kitu chochote.

Kisha tafuta mabaki. Njia inayoelekeza kwenye kiolesura kisichokuwepo tena, au kwenye anwani ya mtandao uliopita, huonekana baada ya vituo vya docking, adapta za USB na madaraja ya kontena kuja na kwenda. Kuifuta mara moja si mwisho: wasifu za muunganisho wa NetworkManager, faili za netplan na njia za kudumu za Windows huiweka tena kwenye muunganisho au uanzishaji unaofuata, kwa hivyo pata faili au wasifu unaoimiliki kabla ya kubadilisha kitu chochote.

Kisha angalia IPv6 kivyake. ip -6 route na Get-NetRoute -AddressFamily IPv6 huhifadhi hali tofauti, chaguo-msingi tofauti na tabia tofauti ya mteja. Ukaguzi wa IPv4 pekee hausemi chochote kuhusu mwenyeji wa stack mbili anayependelea kwa kimya njia ya asili ya IPv6, na hilo pekee linaweza kumfanya mteja aonekane kama split-tunnel.

Thibitisha kwa mtiririko wa programu yenyewe

Rekodi lengo ambalo programu inatumia kweli, kisha uliza mfumo kuhusu njia ambayo ingechukua kutoka anwani chanzo ambayo programu hiyo inajifunga. ip route get 10.20.5.9 from 192.168.1.40 hujibu hilo kwenye Linux; Find-NetRoute -RemoteIPAddress 10.20.5.9 pamoja na anwani ya ndani hufanya hivyo kwenye Windows. Linganisha matokeo na kile wasifu unadai. Ukurasa wa IP ya umma wa kivinjari hupima lengo moja kwenye itifaki moja na hausemi chochote kuhusu anwani ya kibinafsi iliyoanzisha malalamiko.

Rekebisha kitu chembamba zaidi kinachoeleza tofauti. Ikiwa kighairi kimeidhinishwa, andika kiambishi awali na ukiache; ikiwa sivyo, ondoa njia au ongeza njia nyembamba iliyo wazi kupitia handaki badala ya kupunguza kipimo cha chaguo-msingi. Kupunguza kipimo hakuwezi kuzidi kiambishi awali kirefu, na kubadilisha chaguo-msingi wakati njia mbili za /1 zinamiliki njia ya mtandao pia hakubadilishi chochote.

Kisha unganisha tena handaki na urudie swali lile lile. Wateja hupanga tena njia kwenye kila muunganisho, kwa hivyo mabadiliko yanayodumu tu hadi mkono wa pili ujao hayajajaribiwa. Ikiwa njia bado inatofautiana, washukiwa waliobaki ni kanuni ya sera, jedwali la pili au kichujio upande wa mteja — si njia chaguo-msingi.

• Taja lengo na anwani chanzo ambayo programu inatumia kweli.
• Chapisha njia inayoshinda kwa ip route get au Find-NetRoute.
• Angalia kama jozi la /1 au jedwali la sera linamiliki njia ya mtandao.
• Orodhesha kila kiambishi awali kirefu kuliko /0 kinacholingana na lengo.
• Rudia ukaguzi wa IPv6 kivyake.
• Fuatilia njia iliyobaki kurudi kwenye faili, wasifu au kichujio kinachoipanga.
• Unganisha tena na uendeshe swali tena kabla ya kuitaja kuwa imerekebishwa.

Ikiwa saba zote zinakubaliana na wasifu, handaki linafanya hasa kile kilichosanidiwa, na marekebisho ni ya wasifu, si ya kipimo.