Vì sao bảng định tuyến VPN trên Windows hiển thị 0.0.0.0/1 và 128.0.0.0/1

Kết nối với một VPN trên Windows và mở bảng định tuyến, hai mục nổi bật: 0.0.0.0/1 và 128.0.0.0/1. Chúng không phải lỗi gõ và không thay thế tuyến mặc định. Việc chúng xuất hiện phụ thuộc vào một tùy chọn hồ sơ, và cặp này là cách dựng một đường hầm đầy đủ, không phải tính năng chia tách đường hầm. Hãy đọc tùy chọn, tiền tố và giao diện cùng nhau trước khi thay đổi dù chỉ một dòng.

Tùy chọn cổng mặc định cài đặt những gì

Tùy chọn hồ sơ gửi mọi thứ qua đường hầm hoạt động bằng cách thêm hai tiền tố đó. Bỏ chọn tùy chọn và chúng biến mất, chỉ còn lại một tuyến bao phủ đúng mạng con được cấp cho bộ điều hợp đường hầm. Hộp kiểm điều khiển cặp này; nó không viết lại tuyến mặc định duy nhất. Đó là lý do bảng sau khi bỏ chọn trông giống một lần viết lại một phần hơn là một lần xóa.

0.0.0.0/1 bao phủ nửa dưới của không gian IPv4 và 128.0.0.0/1 nửa trên, nên cùng nhau chúng bao phủ mọi địa chỉ unicast. Mỗi tiền tố cụ thể hơn tuyến mặc định 0.0.0.0/0, nghĩa là khớp tiền tố dài nhất đẩy lưu lượng thông thường vào đường hầm trong khi tuyến mặc định vật lý vẫn ở nguyên chỗ cũ. Giữ tuyến mặc định đó không phải chuyện mỹ quan: các gói bọc tải trọng đã mã hóa được gửi tới địa chỉ công khai của máy chủ và phải đi ra qua bộ điều hợp vật lý. Thay thế tuyến mặc định thay vì chia nó, và chính phần vận chuyển của đường hầm sẽ cố đi vào đường hầm, đó là một vòng lặp chứ không phải kết nối.

Vì vậy một 0.0.0.0/0 nguyên văn trỏ tới bộ điều hợp VPN đáng để dừng lại. Ứng dụng gốc thường không ghi như vậy, nên một tuyến thủ công hoặc cấu hình của ứng dụng khác đã thay đổi bảng sau lưng bạn. Hãy tìm nó trước khi gỡ lỗi bất cứ thứ gì bên dưới.

Gỡ bỏ rẻ hơn giữ lại một cổng

Gỡ bỏ là lập luận thực tiễn cho hai mục thay vì một. Khi đang kết nối, ứng dụng sở hữu đúng hai tuyến và xóa chúng khi ngắt kết nối, để lại những gì bộ điều hợp vật lý đang giữ tại thời điểm đó. Một ứng dụng đã thay thế tuyến mặc định duy nhất sẽ phải nhớ cổng trước đó, và sau khi thay đổi hợp đồng thuê DHCP nó có thể khôi phục một cổng không còn tồn tại. Hai mục thuộc sở hữu không mang trạng thái như vậy.

Các ứng dụng khác cũng đi đến thiết kế này. Một hồ sơ OpenVPN với redirect-gateway def1 cài hai tiền tố đó thay vì xóa tuyến mặc định, và ứng dụng Windows cũng theo mẫu đó vì cùng lý do định tuyến.

Đó cũng là lý do một bảng có thể trông như đường hầm đầy đủ khi bạn chờ đợi sự chia tách. Cặp này là cách dựng đường hầm đầy đủ, không phải bằng chứng của lỗi chia tách đường hầm. Nếu hồ sơ được đặt dùng cổng từ xa, mọi thứ đều được định tuyến, bất kể một ứng dụng cục bộ còn với tới được gì.

Tiền tố dài nhất thắng trước mọi số liệu

Độ dài tiền tố quyết định việc tra cứu trước mọi trường khác. Số liệu chỉ phá thế hòa giữa các tuyến có cùng tiền tố, nên một mục /1 thắng tuyến mặc định /0 ngay cả khi số liệu của nó kém hơn. Việc gắn với giao diện quyết định phần còn lại khi hai tuyến dùng chung một tiền tố và Windows phải chọn bộ điều hợp nào gửi gói.

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

Một bảng chia tách đường hầm chứa tuyến mặc định vật lý, hai nửa tuyến mặc định, tuyến của mạng con đường hầm và mọi tiền tố văn phòng bạn đã thêm. Tuyến mặc định vật lý có thể nằm ở số liệu thấp hơn hoặc cao hơn tùy ứng dụng và hồ sơ, và chừng nào cặp /1 còn tồn tại thì khác biệt đó không thay đổi gì. Nó thay đổi mọi thứ vào lúc cặp bị gỡ, và đó là lúc một cổng cũ hoặc một giao diện sai hiện ra. Hãy đọc toàn bộ bảng chứ không phải dòng duy nhất bạn định thay đổi.

Chọn một chủ sở hữu cho tiền tố văn phòng

Với đường hầm chia tách, chỉ nêu tiền tố phải dùng VPN và chọn một cách sở hữu nó. Trỏ tuyến tới địa chỉ đường hầm được cấp hoạt động cho đến khi địa chỉ đó thay đổi, trong khi gắn vào giao diện sống sót qua thay đổi địa chỉ nhưng hỏng khi chỉ số được cấp lại sau khi hồ sơ được dựng lại. Cmdlet gắn với hồ sơ tránh được cả hai vấn đề, với cái giá là cần hồ sơ.

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

Cmdlet gắn tiền tố với hồ sơ được đặt tên, nên tuyến xuất hiện cùng kết nối và biến mất cùng nó, đó là điều một máy tính xách tay được quản lý muốn. Một tuyến cố định sống sót qua khởi động lại và sống sót qua hồ sơ đã tạo ra nó, và đó là cách một VPN đã ngừng dùng để lại các mục trong nhiều năm. Chọn một phương thức cho mỗi tiền tố và ghi lại lựa chọn, vì một tuyến cố định cộng một tuyến hồ sơ cho cùng tiền tố tạo ra các bản trùng khó gỡ khi tắt. Dù bạn chọn gì, quyền sở hữu phải hiện trong phiếu chứ không chỉ trên máy.

Quyền sở hữu là câu hỏi mà phần này trả lời, không phải cú pháp. Hai chủ sở hữu cho một tiền tố là chế độ hỏng đáng để tránh.

Xác minh bằng đích đến, không bằng trang web

Kiểm tra đích đến phải đi qua đường hầm, không phải trang web báo địa chỉ ra. Find-NetRoute trả về tuyến được chọn và địa chỉ nguồn, nên bạn thấy tiền tố văn phòng hay tuyến mặc định vật lý thắng, rồi mở chính thư mục chia sẻ.

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

Trang web địa chỉ ra là kiểm tra yếu, vì DNS, IPv6 và proxy của trình duyệt có thể gửi yêu cầu đó theo những đường khác nhau. IPv4 và IPv6 cũng có thiết lập riêng trong cùng hộp thoại, và xóa một ô để yên họ còn lại, nên một máy hai chồng có thể mang IPv6 qua đường hầm trong khi IPv4 theo tuyến chia tách. Kiểm tra cả hai họ trước khi gọi hồ sơ là chia tách. Nếu tuyến đúng mà dịch vụ vẫn hỏng, lớp còn lại là lọc chứ không phải định tuyến.

Một tường lửa do ứng dụng quản lý có thể chặn mạng con văn phòng dù bảng định tuyến hoàn hảo. Chính sách đó thuộc về người đã triển khai hồ sơ, không thuộc về người sửa tuyến.