OpenConnect не может достичь пунктов назначения, поддерживающих только VPN

Question 1

Основываясь на ответе KRyan, я изменил свой скрипт openconnect (vpnc-script.js в папке openconnect gui!) следующим образом, и это помогло мне в похожей ситуации:

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask);
    }

=>

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask + " " + internal_gw+" metric 2 if "+env("TUNIDX"));
    }

(строка 175)

По моему мнению, ошибка здесь:

// Calculate the first usable address in subnet
var internal_gw_array = new Array(
    address_array[0] & netmask_array[0],
    address_array[1] & netmask_array[1],
    address_array[2] & netmask_array[2],
    (address_array[3] & netmask_array[3]) + 1
);
var internal_gw = internal_gw_array.join(".");

При маске сети 255.255.255.255 для моего внутреннего IP, переданного через var netmask_array = env("INTERNAL_IP4_NETMASK").split(".");, этот трюк со шлюзом (в конечном итоге маршрут идет к интерфейсу, IP-адрес шлюза здесь бесполезен), похоже, не срабатывает.

Answer

Основываясь на ответе KRyan, я изменил свой скрипт openconnect (vpnc-script.js в папке openconnect gui!) следующим образом, и это помогло мне в похожей ситуации:

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask);
    }

=>

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask + " " + internal_gw+" metric 2 if "+env("TUNIDX"));
    }

(строка 175)

По моему мнению, ошибка здесь:

// Calculate the first usable address in subnet
var internal_gw_array = new Array(
    address_array[0] & netmask_array[0],
    address_array[1] & netmask_array[1],
    address_array[2] & netmask_array[2],
    (address_array[3] & netmask_array[3]) + 1
);
var internal_gw = internal_gw_array.join(".");

При маске сети 255.255.255.255 для моего внутреннего IP, переданного через var netmask_array = env("INTERNAL_IP4_NETMASK").split(".");, этот трюк со шлюзом (в конечном итоге маршрут идет к интерфейсу, IP-адрес шлюза здесь бесполезен), похоже, не срабатывает.

Question 2

Я был прав, что проблема была в маршрутах. Потребовалось много проб и ошибок, чтобы добиться правильного результата, но в конечном итоге ручное обновление маршрутов после подключения сработало.

Странно, но route CHANGEне сработало; мне пришлось использовать route ADD, хотя, насколько я могу судить, эти маршруты уже существовали после того, как я подключился. Я использовал тот же пункт назначения, маску и шлюз, а затем METRIC 2 IF 17(поскольку интерфейс «TAP-Windows adapter V9» использовал 17 — я подозреваю, что он будет меняться с каждым перезапуском? отключение и повторное подключение, похоже, постоянно использует 17 на данный момент, но, как вы можете видеть в вопросе, тогда он использовал 63). После этого в списке route PRINTдля этого пункта назначения было две записи (одна, добавленная OpenConnect, и одна, добавленная мной), и это позволило мне подключиться.

Но что я считаю абсолютно странным, так это то, что мой недавно добавленный маршрут имеет метрику 37 — а не 2, которые я указал в команде route ADD, и больше, чем 36, которые были у существующей записи. Но как бы там ни было, это работает.

К счастью, наш проект поддерживает hostsфайл (который разработчики могут скопировать в свой собственный hostsфайл, когда начнут работать над ним, и который наши инструменты сборки проверяют), поэтому я смог написать пакетный скрипт для корректировки маршрутов. Для тех, кто еще хочет это сделать, мой пакетный скрипт выглядит так

FOR /F "tokens=1" %%i IN (\path\to\our\development\hosts) DO (
    route ADD %%i MASK 255.255.255.255 a.b.c.d METRIC 2 IF 17
)

Формат hostsфайла такой же, как и у системного файла: a.b.c.d URL. Этот скрипт не поддерживает комментарии (хотя я предполагаю, что он route ADDпросто не будет работать), и я не знаю, будут ли пустые строки проблемой или нет (но, опять же, вероятно, просто не будет работать route ADD).

Вероятно, мне придется скорректировать его для 17, поскольку я подозреваю, что это не будет константой; когда это произойдет, я посмотрю, как определить, что это такое, и вместо этого буду использовать переменную. (И я также обновлю этот ответ.)

Answer

Я был прав, что проблема была в маршрутах. Потребовалось много проб и ошибок, чтобы добиться правильного результата, но в конечном итоге ручное обновление маршрутов после подключения сработало.

Странно, но route CHANGEне сработало; мне пришлось использовать route ADD, хотя, насколько я могу судить, эти маршруты уже существовали после того, как я подключился. Я использовал тот же пункт назначения, маску и шлюз, а затем METRIC 2 IF 17(поскольку интерфейс «TAP-Windows adapter V9» использовал 17 — я подозреваю, что он будет меняться с каждым перезапуском? отключение и повторное подключение, похоже, постоянно использует 17 на данный момент, но, как вы можете видеть в вопросе, тогда он использовал 63). После этого в списке route PRINTдля этого пункта назначения было две записи (одна, добавленная OpenConnect, и одна, добавленная мной), и это позволило мне подключиться.

Но что я считаю абсолютно странным, так это то, что мой недавно добавленный маршрут имеет метрику 37 — а не 2, которые я указал в команде route ADD, и больше, чем 36, которые были у существующей записи. Но как бы там ни было, это работает.

К счастью, наш проект поддерживает hostsфайл (который разработчики могут скопировать в свой собственный hostsфайл, когда начнут работать над ним, и который наши инструменты сборки проверяют), поэтому я смог написать пакетный скрипт для корректировки маршрутов. Для тех, кто еще хочет это сделать, мой пакетный скрипт выглядит так

FOR /F "tokens=1" %%i IN (\path\to\our\development\hosts) DO (
    route ADD %%i MASK 255.255.255.255 a.b.c.d METRIC 2 IF 17
)

Формат hostsфайла такой же, как и у системного файла: a.b.c.d URL. Этот скрипт не поддерживает комментарии (хотя я предполагаю, что он route ADDпросто не будет работать), и я не знаю, будут ли пустые строки проблемой или нет (но, опять же, вероятно, просто не будет работать route ADD).

Вероятно, мне придется скорректировать его для 17, поскольку я подозреваю, что это не будет константой; когда это произойдет, я посмотрю, как определить, что это такое, и вместо этого буду использовать переменную. (И я также обновлю этот ответ.)

Question 3

Не то чтобы вы еще не придумали что-то работающее, но вы, похоже, не понимаете, как используются метрики маршрута.Они действительно являются решающим фактором только в очень специфических обстоятельствах.. Цитирую связанный ответ:

Выбор маршрута на окнах включает в себя:

Поиск наиболее точных маршрутов к месту назначения

Выбор наиболее специфичного маршрута с наименьшей метрикой.

И если вы хотите сделать свой сценарий менее хрупким, вы можетепрограммно определить номер интерфейса.

Answer

Не то чтобы вы еще не придумали что-то работающее, но вы, похоже, не понимаете, как используются метрики маршрута.Они действительно являются решающим фактором только в очень специфических обстоятельствах.. Цитирую связанный ответ:

Выбор маршрута на окнах включает в себя:

Поиск наиболее точных маршрутов к месту назначения

Выбор наиболее специфичного маршрута с наименьшей метрикой.

И если вы хотите сделать свой сценарий менее хрупким, вы можетепрограммно определить номер интерфейса.

OpenConnect не может достичь пунктов назначения, поддерживающих только VPN

решение1

решение2

решение3

Связанный контент