Bakit ipinapakita ng iyong Windows VPN route table ang 0.0.0.0/1 at 128.0.0.0/1

Kumonekta sa isang Windows VPN at buksan ang talahanayan ng ruta, at dalawang entry ang kapansin-pansin: 0.0.0.0/1 at 128.0.0.0/1. Hindi ito typo at hindi nila pinapalitan ang default na ruta. Ang paglitaw nila ay nakasalalay sa isang opsyon ng profile, at ang pares ang paraan ng pagbuo ng buong tunnel, hindi tampok ng split tunnel. Basahin ang opsyon, prefix at interface nang sama-sama bago baguhin ang kahit isang linya.

Ano ang ini-install ng opsyon ng default na gateway

Ang opsyon ng profile na nagpapadala ng lahat sa tunnel ay gumagana sa pamamagitan ng pagdaragdag ng dalawang prefix na iyon. Alisin ang opsyon at mawawala sila, iiwan ang rutang sumasaklaw lamang sa subnet na ibinigay sa tunnel adapter. Kinokontrol ng checkbox ang pares; hindi nito muling isinusulat ang nag-iisang default na ruta. Kaya ang talahanayan pagkatapos tanggalin ang tsek ay mukhang bahagyang muling pagsulat at hindi pagbura.

Sinasaklaw ng 0.0.0.0/1 ang ibabang kalahati ng espasyo ng IPv4 at ng 128.0.0.0/1 ang itaas na kalahati, kaya magkasama nilang sinasaklaw ang bawat unicast address. Ang bawat isa ay mas tiyak kaysa sa default na rutang 0.0.0.0/0, ibig sabihin ipinapadala ng pagtutugma ng pinakamahabang prefix ang ordinaryong trapiko sa tunnel habang ang pisikal na default na ruta ay nananatili kung saan ito. Ang pagpapanatili ng default na iyon ay hindi kosmetiko: ang mga packet na bumabalot sa naka-encrypt na payload ay nakadirihig sa pampublikong address ng server at dapat lumabas sa pisikal na adapter. Palitan ang default sa halip na hatiin ito, at susubukan ng transportasyon ng tunnel mismo na pumasok sa tunnel, na loop at hindi koneksyon.

Kaya ang literal na 0.0.0.0/0 na nakaturo sa VPN adapter ay sulit hanguan. Karaniwang hindi nagsusulat ng ganoon ang native na kliyente, kaya binago ng manu-manong ruta o ng configuration ng ibang kliyente ang talahanayan sa likod mo. Hanapin ito bago mag-debug ng anuman sa ibaba.

Mas mura ang pagtanggal kaysa sa pag-iingat ng gateway

Ang pagtanggal ang praktikal na argumento para sa dalawang entry kaysa isa. May eksaktong dalawang ruta ang kliyente habang konektado at binubura ang mga ito sa pagdiskonekta, iiwan ang hawak ng pisikal na adapter sa sandaling iyon. Ang kliyenteng pumalit sa nag-iisang default ay kailangang tandaan ang dating gateway, at pagkatapos ng pagbabago ng DHCP lease ay maaari nitong ibalik ang isang wala nang umiiral. Ang dalawang sariling entry ay walang ganoong estado.

Nakarating ang ibang kliyente sa parehong disenyo. Ang profile ng OpenVPN na may redirect-gateway def1 ay nag-i-install ng dalawang prefix na iyon sa halip na burahin ang default, at sinusunod ng kliyente ng Windows ang parehong pattern sa parehong dahilan ng routing.

Iyon din ang dahilan kung bakit ang talahanayan ay maaaring magmukhang buong tunnel kapag inaasahan mo ang paghahati. Ang pares ang paraan ng pagbuo ng buong tunnel, hindi patunay ng pagkakamali ng split tunnel. Kung nakatakda ang profile na gamitin ang remote gateway, lahat ay niruruta, anuman ang maabot pa ng isang lokal na aplikasyon.

Nanalo ang pinakamahabang prefix bago ang anumang metric

Ang haba ng prefix ang nagtatakda ng paghahanap bago ang anumang ibang field. Ang metric ay nag-aayos lamang ng tabla sa pagitan ng mga rutang may magkaparehong prefix, kaya ang entry na /1 ay tinatalo ang default na /0 kahit mas malala ang metric nito. Ang pagbigkis sa interface ang nagtatakda kung ano ang natitira kapag dalawang ruta ang nagbabahagi ng prefix at kailangang pumili ng Windows kung aling adapter ang magpapadala ng packet.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Ang talahanayan ng split tunnel ay naglalaman ng pisikal na default, ang dalawang kalahating default, ang ruta ng subnet ng tunnel at anumang prefix ng opisina na idinagdag mo. Ang pisikal na default ay maaaring nasa mas mababa o mas mataas na metric depende sa kliyente at profile, at habang umiiral ang pares na /1 wala itong binabago. Binabago nito ang lahat sa sandaling tinanggal ang pares, at doon lumilitaw ang lumang gateway o maling interface. Basahin ang buong talahanayan at hindi ang isang linyang inaasahan mong baguhin.

Pumili ng isang may-ari para sa prefix ng opisina

Para sa split tunnel, pangalanan lamang ang prefix na dapat gumamit ng VPN, at pumili ng isang paraan ng pagmamay-ari nito. Ang pagturo ng ruta sa itinalagang tunnel address ay gumagana hanggang magbago ang address na iyon, samantalang ang pagbigkis sa interface ay nakakalampas sa pagbabago ng address ngunit nasisira kapag muling inilaan ang index pagkatapos itayong muli ang profile. Ang cmdlet na nakabigkis sa profile ay umiiwas sa dalawang problema, sa halaga ng pangangailangan ng profile.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Ibinibigkis ng cmdlet ang prefix sa pinangalanang profile, kaya lumilitaw ang ruta kasama ng koneksyon at umaalis kasama nito, na siyang gusto ng pinamamahalaang laptop. Ang permanenteng ruta ay nakakalampas sa mga reboot at nakakalampas sa profile na nagtulak nito, at ganoon nag-iiwan ng mga entry ang retiradong VPN nang maraming taon. Pumili ng isang paraan kada prefix at itala ang pinili, dahil ang permanenteng ruta at ruta ng profile para sa parehong prefix ay gumagawa ng mga duplicate na masakit kalasin sa pagtanggal. Anuman ang piliin mo, dapat makita ang pagmamay-ari sa ticket at hindi lamang sa makina.

Ang pagmamay-ari ang tanong na sinasagot ng seksyong ito, hindi ang sintaks. Dalawang may-ari para sa isang prefix ang mode ng kabiguan na sulit iwasan.

I-verify gamit ang destinasyon, hindi website

Subukan ang destinasyon na dapat tumawid sa tunnel, hindi ang website na nag-uulat ng exit address. Find-NetRoute ibinabalik ang piniling ruta at ang source address, kaya makikita mo kung prefix ng opisina o pisikal na default ang nanalo, at pagkatapos ay buksan ang share mismo.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Ang website ng exit address ay mahinang pagsusuri, dahil DNS, IPv6 at proxy ng browser ay maaaring magpadala ng kahilingang iyon sa magkaibang landas. May hiwalay ding mga setting ang IPv4 at IPv6 sa parehong dialog, at ang paglilinis ng isang kahon ay iniiwan ang kabilang pamilya na hindi nagalaw, kaya ang makina na may dobleng stack ay maaaring magdala ng IPv6 sa tunnel habang ang IPv4 ay sumusunod sa split route. Suriin ang parehong pamilya bago tawagin ang profile na split. Kung tama ang ruta at nabibigo pa rin ang serbisyo, ang natitirang layer ay pagsasala at hindi routing.

Ang firewall na pinamamahalaan ng kliyente ay maaaring harangin ang subnet ng opisina kahit may perpektong talahanayan ng ruta. Ang patakarang iyon ay pag-aari ng naglabas ng profile, hindi ng taong nag-e-edit ng ruta.