OpenConnect 無法到達僅限 VPN 的目的地

Question 1

根據 KRyan 的回答，我修改了我的 openconnect 腳本（openconnect gui 資料夾中的 vpnc-script.js！），如下所示，它在類似的情況下幫助了我：

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask);
    }

=>

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask + " " + internal_gw+" metric 2 if "+env("TUNIDX"));
    }

（第 175 行）

我認為的錯誤在這裡：

// Calculate the first usable address in subnet
var internal_gw_array = new Array(
    address_array[0] & netmask_array[0],
    address_array[1] & netmask_array[1],
    address_array[2] & netmask_array[2],
    (address_array[3] & netmask_array[3]) + 1
);
var internal_gw = internal_gw_array.join(".");

對於由傳入的內部 IP 的網路遮罩 255.255.255.255 var netmask_array = env("INTERNAL_IP4_NETMASK").split(".");，此網關技巧（最終路由到達接口，網關 ip 在這裡毫無意義）似乎失敗

Answer

根據 KRyan 的回答，我修改了我的 openconnect 腳本（openconnect gui 資料夾中的 vpnc-script.js！），如下所示，它在類似的情況下幫助了我：

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask);
    }

=>

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask + " " + internal_gw+" metric 2 if "+env("TUNIDX"));
    }

（第 175 行）

我認為的錯誤在這裡：

// Calculate the first usable address in subnet
var internal_gw_array = new Array(
    address_array[0] & netmask_array[0],
    address_array[1] & netmask_array[1],
    address_array[2] & netmask_array[2],
    (address_array[3] & netmask_array[3]) + 1
);
var internal_gw = internal_gw_array.join(".");

對於由傳入的內部 IP 的網路遮罩 255.255.255.255 var netmask_array = env("INTERNAL_IP4_NETMASK").split(".");，此網關技巧（最終路由到達接口，網關 ip 在這裡毫無意義）似乎失敗

Question 2

我是對的，路線才是問題所在。經過大量的試驗和錯誤才得到正確的結果，但最終在連接成功後手動更新路線。

奇怪的是，route CHANGE沒有用；我必須使用route ADD，儘管據我所知這些路線在我連接後已經存在。我使用相同的目標、遮罩和網關，然後METRIC 2 IF 17（因為「TAP-Windows 適配器V9」介面使用17，我懷疑它會隨著每次重新啟動而改變？斷開連接和重新連接目前似乎始終使用17，但如您所見）可以在問題中看到它當時使用的是 63）。執行此操作後，該目的地列出了兩個條目route PRINT（OpenConnect 添加的一個和我添加的一個），它允許我進行連接。

不過，我認為絕對奇怪的是，我新添加的路線的度量為 37，而不是我在命令中輸入的 2 route ADD，並且大於現有條目的度量 36。但無論如何，它有效。

幸運的是，我們的專案維護了一個hosts文件（供開發人員在開始處理該文件時複製到自己的hosts文件中，並且我們的建置工具會進行檢查），因此我能夠編寫批次腳本來調整路由。為了其他想要這樣做的人，我的批次腳本如下所示

FOR /F "tokens=1" %%i IN (\path\to\our\development\hosts) DO (
    route ADD %%i MASK 255.255.255.255 a.b.c.d METRIC 2 IF 17
)

文件hosts格式與系統文件相同：a.b.c.d URL.該腳本不支援註釋（儘管我想它route ADD會失敗）並且我不知道空行是否會成為問題（但同樣，可能只是失敗route ADD）。

我可能需要針對 17 進行調整，因為我懷疑這不會是恆定的；當出現這種情況時，我將研究如何確定它是什麼並使用變數代替。（我也會更新這個答案。）

Answer