Nima uchun Windows VPN marshrutlar jadvali 0.0.0.0/1 va 128.0.0.0/1 ni ko’rsatadi

Windows VPN ga ulanib, marshrutlar jadvalini oching, ikkita yozuv ko’zga tashlanadi: 0.0.0.0/1 va 128.0.0.0/1. Ular terish xatosi emas va standart marshrutni almashtirmaydi. Ularning ko’rinishi bitta profil opsiyasiga bog’liq, va bu juftlik to’liq tunnel qurish usuli, bo’lingan tunnel xususiyati emas. Bitta satrni o’zgartirishdan oldin opsiya, prefiks va interfeysni birga o’qing.

Standart shlyuz opsiyasi nimani o’rnatadi

Hamma narsani tunnel orqali yuboradigan profil opsiyasi o’sha ikki prefiksni qo’shish bilan ishlaydi. Opsiyani olib tashlang, ular yo’qoladi va faqat tunnel adapteriga berilgan quyi tarmoqni qamrab oluvchi marshrut qoladi. Belgilash katagi juftlikni boshqaradi; u yagona standart marshrutni qayta yozmaydi. Shuning uchun belgi olib tashlangandan keyin jadval o’chirishga emas, qisman qayta yozishga o’xshaydi.

0.0.0.0/1 IPv4 maydonining pastki yarmini, 128.0.0.0/1 esa yuqori yarmini qamrab oladi, shuning uchun birgalikda har bir unicast manzilni qamrab oladi. Har biri standart 0.0.0.0/0 dan aniqroq, ya’ni eng uzun prefiks mosligi oddiy trafikni tunnelga yuboradi, fizik standart marshrut esa o’z joyida qoladi. O’sha standartni saqlash kosmetika emas: shifrlangan yukni o’rab turgan paketlar serverning ommaviy manziliga yo’naltirilgan va fizik adapterdan chiqishi kerak. Standartni bo’lish o’rniga almashtirsangiz, tunnelning o’z transporti tunnelga kirishga urinadi, bu esa ulanish emas, halqa.

Shuning uchun VPN adapteriga qaragan so’zma-so’z 0.0.0.0/0 ni ko’rsangiz, to’xtab o’ylash arziydi. Mahalliy klient odatda bunday yozmaydi, demak qo’lda yasalgan marshrut yoki boshqa klient konfiguratsiyasi jadvalni sizning orqangizda o’zgartirgan. Pastdagi biror narsani sozlashdan oldin uni toping.

Shlyuzni saqlashdan ko’ra demontaj arzonroq

Demontaj bitta emas, ikkita yozuv foydasiga amaliy dalildir. Klient ulangan paytda aynan ikkita marshrutga ega va uzilganda ularni o’chiradi, o’sha lahzada fizik adapterda bor narsani qoldiradi. Yagona standartni almashtirgan klient oldingi shlyuzni eslab qolishi kerak edi, DHCP ijara muddati o’zgargandan keyin esa endi mavjud bo’lmagan shlyuzni tiklashi mumkin edi. Ikkita o’z yozuvi bunday holatni saqlamaydi.

Boshqa klientlar ham shu dizaynga keladi. redirect-gateway def1 bilan OpenVPN profili standartni o’chirish o’rniga o’sha ikki prefiksni o’rnatadi, Windows klienti ham xuddi shu marshrutlash sababi bilan bu naqshga amal qiladi.

Shu sababli siz bo’linishni kutganingizda jadval to’liq tunnelga o’xshab ko’rinishi mumkin. Juftlik to’liq tunnelning qurilish usuli, bo’lingan tunnel xatosi isboti emas. Agar profil uzoq shlyuzdan foydalanishga sozlangan bo’lsa, bitta mahalliy dastur nimaga yetishidan qat’i nazar, hamma narsa marshrutlanadi.

Eng uzun prefiks har qanday metrikadan oldin g’alaba qozonadi

Prefiks uzunligi har qanday boshqa maydondan oldin qidiruvni belgilaydi. Metrika faqat bir xil prefiksli marshrutlar orasidagi tenglikni buzadi, shuning uchun /1 yozuvi metrikasi yomonroq bo’lsa ham /0 standartni yutadi. Interfeysga bog’lash ikkita marshrut bitta prefiksni bo’lishganda va Windows paketni qaysi adapter yuborishini tanlashi kerak bo’lganda nima qolishini belgilaydi.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Bo’lingan tunnel jadvali fizik standartni, ikkita yarim standartni, tunnel quyi tarmog’ining marshrutini va siz qo’shgan har qanday ofis prefiksini saqlaydi. Fizik standart klient va profilga qarab pastroq yoki yuqoriroq metrikada bo’lishi mumkin, va /1 juftligi mavjud ekan bu farq hech narsani o’zgartirmaydi. Juftlik olib tashlangan lahzada hamma narsani o’zgartiradi, o’shanda eskirgan shlyuz yoki noto’g’ri interfeys yuzaga chiqadi. O’zgartirishni kutgan bitta satrni emas, butun jadvalni o’qing.

Ofis prefiksi uchun bitta egasini tanlang

Bo’lingan tunnel uchun faqat VPN ishlatishi kerak bo’lgan prefiksni nomlang va unga egalik qilishning bitta usulini tanlang. Marshrutni tayinlangan tunnel manziliga yo’naltirish o’sha manzil o’zgarmaguncha ishlaydi, interfeysga bog’lash esa manzil o’zgarishidan omon qoladi, lekin profil qayta qurilgandan keyin indeks qayta tayinlanganda buziladi. Profilga bog’langan cmdlet ikkala muammodan ham qochadi, evaziga profil kerak bo’ladi.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdlet prefiksni nomlangan profilga bog’laydi, shuning uchun marshrut ulanish bilan birga paydo bo’ladi va u bilan ketadi, boshqariladigan noutbuk aynan shuni xohlaydi. Doimiy marshrut qayta yuklashlardan ham, uni keltirib chiqargan profildan ham oshib o’tadi, shu tariqa iste’foga chiqarilgan VPN yillar davomida yozuvlar qoldiradi. Har bir prefiks uchun bitta usul tanlang va tanlovni yozib qo’ying, chunki bir xil prefiks uchun doimiy marshrut va profil marshruti birgalikda demontaj paytida yechish qiyin bo’lgan dublikatlar yaratadi. Nima tanlasangiz ham, egalik faqat mashinada emas, chiptada ham ko’rinishi kerak.

Egalik — bu bo’lim javob beradigan savol, sintaksis emas. Bitta prefiks uchun ikki egasi — oldini olishga arziydigan nosozlik namunasi.

Veb-sayt bilan emas, manzil bilan tekshiring

Tunneldan o’tishi kerak bo’lgan manzilni sinab ko’ring, chiqish manzilini xabar qiladigan veb-saytni emas. Find-NetRoute tanlangan marshrutni va manba manzilini qaytaradi, shuning uchun ofis prefiksi yoki fizik standart yutganini ko’rasiz, keyin ulashishning o’zini ochasiz.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Chiqish manzili sayti zaif tekshiruv, chunki DNS, IPv6 va brauzer proksisi o’sha so’rovni har biri boshqa yo’l bilan yuborishi mumkin. IPv4 va IPv6 bir xil muloqotda alohida sozlamalarga ham ega, bitta katakni tozalash ikkinchi oilani tegilmagan qoldiradi, shuning uchun ikkilamchi stekli mashina IPv4 bo’lingan marshrutni kuzatayotganda IPv6 ni tunneldan olib o’tishi mumkin. Profilni bo’lingan deb atashdan oldin ikkala oilani tekshiring. Marshrut to’g’ri bo’lsa-yu xizmat hali ishlamasa, qolgan qatlam marshrutlash emas, filtrlashdir.

Klient tomonidan boshqariladigan xavfsizlik devori mukammal marshrut jadvali bilan ham ofis quyi tarmog’ini bloklashi mumkin. Bu siyosat profilni tarqatgan kishiga tegishli, marshrutlarni tahrirlayotgan kishiga emas.