OpenConnect は VPN のみの宛先に到達できません

Question 1

KRyan の回答に基づいて、openconnect スクリプト (openconnect gui フォルダー内の vpnc-script.js) を次のように変更したところ、同様の状況で役立ちました。

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask);
    }

=>

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask + " " + internal_gw+" metric 2 if "+env("TUNIDX"));
    }

（175行目）

私の考えでは、バグは次の通りです:

// Calculate the first usable address in subnet
var internal_gw_array = new Array(
    address_array[0] & netmask_array[0],
    address_array[1] & netmask_array[1],
    address_array[2] & netmask_array[2],
    (address_array[3] & netmask_array[3]) + 1
);
var internal_gw = internal_gw_array.join(".");

によって渡された内部IPのネットマスク255.255.255.255ではvar netmask_array = env("INTERNAL_IP4_NETMASK").split(".");、このゲートウェイトリック（最終的にルートはインターフェースに向かうので、ゲートウェイIPはここでは無意味です）は失敗するようです。

Answer

KRyan の回答に基づいて、openconnect スクリプト (openconnect gui フォルダー内の vpnc-script.js) を次のように変更したところ、同様の状況で役立ちました。

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask);
    }

=>

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask + " " + internal_gw+" metric 2 if "+env("TUNIDX"));
    }

（175行目）

私の考えでは、バグは次の通りです:

// Calculate the first usable address in subnet
var internal_gw_array = new Array(
    address_array[0] & netmask_array[0],
    address_array[1] & netmask_array[1],
    address_array[2] & netmask_array[2],
    (address_array[3] & netmask_array[3]) + 1
);
var internal_gw = internal_gw_array.join(".");

によって渡された内部IPのネットマスク255.255.255.255ではvar netmask_array = env("INTERNAL_IP4_NETMASK").split(".");、このゲートウェイトリック（最終的にルートはインターフェースに向かうので、ゲートウェイIPはここでは無意味です）は失敗するようです。

Question 2

ルートに問題があるというのは正しかったです。正しく解決するには多くの試行錯誤が必要でしたが、最終的には接続後にルートを手動で更新することでうまくいきました。

奇妙なことに、route CHANGE動作しませんでした。route ADD接続後にこれらのルートがすでに存在していたことが判明したにもかかわらず、を使用する必要がありました。同じ宛先、マスク、ゲートウェイを使用していましたが、その後をMETRIC 2 IF 17使用しました (「TAP-Windows アダプター V9」インターフェイスは 17 を使用していたため、再起動するたびに変更されると思われます。切断と再接続では、今のところ一貫して 17 が使用されているようですが、質問にあるように、当時は 63 を使用していました)。これを実行すると、route PRINTその宛先に対してに 2 つのエントリがリストされ (OpenConnect によって追加されたものと私が追加したもの)、接続できるようになりました。

しかし、私が絶対に奇妙だと思うのは、新しく追加したルートのメトリックが 37 であることです。これは、コマンドに入力した 2 ではなくroute ADD、既存のエントリの 36 よりも大きい値です。しかし、とにかく、動作します。

幸運なことに、私たちのプロジェクトではhostsファイル（開発者が作業を開始するときに自分のhostsファイルにコピーし、ビルドツールでチェックするためのファイル）が維持されているので、ルートを調整するバッチスクリプトを書くことができました。これを実行しようとしている他の人のために、私のバッチスクリプトは次のようになります。

FOR /F "tokens=1" %%i IN (\path\to\our\development\hosts) DO (
    route ADD %%i MASK 255.255.255.255 a.b.c.d METRIC 2 IF 17
)

ファイルhosts形式はシステムファイルと同じです: a.b.c.d URL。このスクリプトはコメントをサポートしていません (ただし、はroute ADD単に失敗すると思います)。また、空白行が問題になるかどうかもわかりません (ただし、おそらくが失敗するだけですroute ADD)。

17 は一定ではないと思われるので、おそらく調整する必要があるでしょう。その場合、それが何であるかを判断する方法を調べ、代わりに変数を使用します。(この回答も更新します。)

Answer