Windows VPN yönlendirme tablonuz neden 0.0.0.0/1 ve 128.0.0.0/1 gösteriyor

Bir Windows VPN'ine bağlanın ve yönlendirme tablosunu açın; iki girdi hemen göze çarpar: 0.0.0.0/1 ve 128.0.0.0/1. Bunlar yazım hatası değildir ve varsayılan rotanın yerini almazlar. Görünüp görünmemeleri tek bir profil seçeneğine bağlıdır ve bu çift, tam tünelin kurulma biçimidir, bölünmüş tünel özelliği değil. Tek bir satırı değiştirmeden önce seçeneği, öneki ve arayüzü birlikte okuyun.

Varsayılan ağ geçidi seçeneği neyi yükler

Her şeyi tünelden geçiren profil seçeneği, bu iki öneki ekleyerek çalışır. Seçeneği kaldırın, kaybolurlar ve yalnızca tünel bağdaştırıcısına verilen alt ağı kapsayan bir rota kalır. Onay kutusu çifti denetler; tek varsayılan rotayı yeniden yazmaz. Bu yüzden işaret kaldırıldıktan sonra tablo silme değil kısmi yeniden yazma gibi görünür.

0.0.0.0/1 IPv4 uzayının alt yarısını, 128.0.0.0/1 üst yarısını kapsar, böylece birlikte her unicast adresini kapsarlar. Her biri varsayılan 0.0.0.0/0 rotasından daha belirgindir; yani en uzun önek eşleşmesi normal trafiği tünele gönderirken fiziksel varsayılan rota yerinde kalır. O varsayılanı korumak kozmetik değildir: şifrelenmiş yükü saran paketler sunucunun genel adresine yönlendirilir ve fiziksel bağdaştırıcıdan çıkmalıdır. Varsayılanı bölmek yerine değiştirin; tünelin kendi taşıması tünele girmeye çalışır, bu bir döngüdür, bağlantı değil.

Bu nedenle VPN bağdaştırıcısını gösteren birebir 0.0.0.0/0 için durmaya değer. Yerleşik istemci normalde böyle bir şey yazmaz, yani elle eklenmiş bir rota veya başka bir istemcinin yapılandırması tabloyu arkanızdan değiştirmiştir. Aşağıda herhangi bir şeyi ayıklamadan önce onu bulun.

Sökmek bir ağ geçidini saklamaktan ucuzdur

Sökme, bir yerine iki girdinin pratik gerekçesidir. İstemci bağlıyken tam olarak iki rotaya sahiptir ve bağlantı kesilince bunları siler, o anda fiziksel bağdaştırıcının elinde olanı bırakır. Tek varsayılanı değiştirmiş bir istemcinin önceki ağ geçidini hatırlaması gerekirdi ve bir DHCP kiralaması değiştikten sonra artık var olmayan bir ağ geçidini geri yükleyebilirdi. İki sahipli girdi böyle bir durum taşımaz.

Diğer istemciler de aynı tasarıma varır. redirect-gateway def1 içeren bir OpenVPN profili varsayılanı silmek yerine bu iki öneki yükler ve Windows istemcisi aynı yönlendirme nedeniyle aynı kalıbı izler.

Bir bölünme beklerken tablonun tam tünel gibi görünmesinin nedeni de budur. Çift, tam tünelin kurulma biçimidir; bölünmüş tünel hatasının kanıtı değildir. Profil uzak ağ geçidini kullanacak şekilde ayarlanmışsa, yerel bir uygulama neye ulaşırsa ulaşsın her şey yönlendirilir.

En uzun önek herhangi bir metrikten önce kazanır

Önek uzunluğu, aramayı diğer her alandan önce belirler. Metrik yalnızca aynı öneke sahip rotalar arasındaki eşitliği bozar, bu yüzden /1 girdisi metriği daha kötü olsa bile /0 varsayılanını yener. Arayüz bağlaması, iki rota bir öneki paylaştığında ve Windows paketi hangi bağdaştırıcının göndereceğini seçmesi gerektiğinde neyin kaldığını belirler.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Bölünmüş tünel tablosu fiziksel varsayılanı, iki yarım varsayılanı, tünelin alt ağının rotasını ve eklediğiniz her ofis önekini içerir. Fiziksel varsayılan istemciye ve profile göre daha düşük veya daha yüksek bir metrikte olabilir ve /1 çifti var olduğu sürece bu fark hiçbir şeyi değiştirmez. Çift kaldırıldığı anda her şeyi değiştirir ve tam o zaman eski bir ağ geçidi veya yanlış bir arayüz ortaya çıkar. Değiştirmeyi beklediğiniz tek satırı değil, tüm tabloyu okuyun.

Ofis öneki için tek bir sahip seçin

Bölünmüş tünel için yalnızca VPN'i kullanması gereken öneki adlandırın ve ona sahip olmanın tek bir yolunu seçin. Rotayı atanan tünel adresine yönlendirmek o adres değişene kadar çalışır; arayüze bağlama ise adres değişikliğini atlatır ama profil yeniden oluşturulduktan sonra dizin yeniden atandığında kırılır. Profile bağlı cmdlet her iki sorunu da önler, karşılığında profilin gerekmesi vardır.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdlet öneki adlandırılmış profile bağlar, böylece rota bağlantıyla birlikte görünür ve onunla gider; yönetilen bir dizüstü bilgisayarın istediği budur. Kalıcı bir rota yeniden başlatmaları ve onu doğuran profili atlatır; kullanımdan kaldırılmış bir VPN yıllarca böyle girdi bırakır. Her önek için tek bir yöntem seçin ve seçimi not edin, çünkü aynı önek için kalıcı bir rota artı profil rotası, sökme sırasında çözülmesi zahmetli kopyalar üretir. Hangisini seçerseniz seçin, sahiplik yalnızca makinede değil, kayıtta da görünmelidir.

Sahiplik, bu bölümün yanıtladığı sorudur, sözdizimi değil. Bir önek için iki sahip, kaçınılmaya değer hata modudur.

Web sitesiyle değil, hedefle doğrulayın

Tüneli geçmesi gereken hedefi test edin, çıkış adresi bildiren bir web sitesini değil. Find-NetRoute seçilen rotayı ve kaynak adresi döndürür, böylece ofis önekinin mi yoksa fiziksel varsayılanın mı kazandığını görürsünüz, sonra paylaşımın kendisini açarsınız.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Çıkış adresi sitesi zayıf bir denetimdir, çünkü DNS, IPv6 ve bir tarayıcı vekili bu isteği her biri farklı bir yoldan gönderebilir. IPv4 ve IPv6 aynı iletişim kutusunda ayrı ayarlara da sahiptir ve bir kutuyu temizlemek diğer aileyi dokunulmadan bırakır, bu yüzden çift yığınlı bir makine IPv4 bölünmüş rotayı izlerken IPv6'yı tünelden taşıyabilir. Profili bölünmüş olarak adlandırmadan önce iki aileyi de denetleyin. Rota doğruysa ve hizmet hâlâ başarısızsa, kalan katman yönlendirme değil filtrelemedir.

İstemci tarafından yönetilen bir güvenlik duvarı, kusursuz bir yönlendirme tablosu varken bile ofis alt ağını engelleyebilir. Bu politika profili dağıtan kişiye aittir, rotaları düzenleyen kişiye değil.