SoftEther虚拟网卡VPN+上网

理解Windows中的路由表和默认网关 

2009-04-23 11:36:09 

理解Windows中的路由表和默认网关 

每一个Windows系统中都具有IP路由表，它存储了本地计算机可以到达的网络目的地址范围和如何到达的路由信息。路由表是TCP/IP通信的基础，本地计算机上的任何TCP/IP通信都受到路由表的控制。 

理解路由表 

你可以运行 route print 或 netstat -r 显示本地计算机上的路由表，如下图所示： 

C:\\Documents and Settings\\administrator>route print 

=========================================================================== 

Interface List 

0x1 ........................... MS TCP Loopback interface 

0x10003 ...00 50 8d 4f 5f c5 ...... Realtek RTL8139/810x Family Fast Ethernet NIC 

=========================================================================== 

=========================================================================== 

Active Routes: 

Default Gateway: 192.168.1.1 

=========================================================================== 

Persistent Routes: 

None 

路由表中的每一个路由项具有五个属性，在此我将它们分为四个部分： 

1、网络地址（Network Destination）、网络掩码（Netmask）：网络地址和网络掩码相与的结果用于定义本地计算机可以到达的网络目的地址范围。通常情况下，网络目的地址范围包含以下四种： 

∙主机地址；某个特定主机的网络地址，网络掩码为255.255.255.255，如上表中的6、7、9； 

∙子网地址，某个特定子网的网络地址，如上表中的4、5； 

∙网络地址；某个特定网络的网络地址，如上表中的2、3、8； 

∙默认路由；所有未在路由表中指定的网络地址，如上表中的1，在后文将详细描述； 

在添加路由时，Windows要求输入的网络地址和网络掩码相与后的结果必须等于网络地址，否则路由添加会失败。 

2、网关（Gateway，又称为下一跳服务器）：在发送IP数据包时，网关定义了针对特定的网络目的地址，数据包发送到的下一跳服务器。如果是本地计算机直接连接到的网络，网关通常是本地计算机对应的网络接口，但是此时接口必须和网关一致；如果是远程网络或默认路由，网关通常是本地计算机所连接到的网络上的某个服务器或路由器。 

3、接口（Interface）：接口定义了针对特定的网络目的地址，本地计算机用于发送数据包的网络接口。网关必须位于和接口相同的子网（默认网关除外），否则造成在使用此路由项时需调用其他路由项，从而可能会导致路由死锁。 

4、跃点数（Metric）：跃点数用于指出路由的成本，通常情况下代表到达目标地址所需要经过的跃点数量，一个跃点代表经过一个路由器。跃点数越低，代表路由成本越低；跃点数越高，代表路由成本越高。当具有多条到达相同目的网络的路由项时，TCP/IP会选择具有更低跃点数的路由项。 

路由确定过程 

当TCP/IP需要向某个IP地址发起通信时，它会对路由表进行评估，以确定如何发送数据包。评估过程如下： 

∙TCP/IP使用需要通信的目的IP地址和路由表中每一个路由项的网络掩码进行相与计算，如果相与后的结果匹配对应路由项的网络地址，则记录下此路由项； 

∙当计算完路由表中所有的路由项后，TCP/IP选择记录下的路由项中的最长匹配路由（网络掩码中具有最多“1”位的路由项）来和此目的IP地址进行通信。如果存在多个最长匹配路由，那么选择具有最低跃点数的路由项；如果存在多个具有最低跃点数的最长匹配路由，那么： 

o如果是发送响应数据包，并且数据包的源IP地址是某个最长匹配路由的接口的IP地址，那么选择此最长匹配路由； 

o其他情况下均根据最长匹配路由所对应的网络接口在网络连接的高级设置中的绑定优先级来决定，如下图所示： 

在此我以上面的路由表为基础，举例进行说明： 

∙和单播IP地址 192.168.1.8 的通信：在进行相与计算时，1、3 项匹配，但是3项为最长匹配路由，因此选择3项。3项的网关地址为本地计算机的网络接口192.168.1.6，因此发送数据包时，目的IP地址为192.168.1.8、目的MAC地址为192.168.1.8的MAC地址（通过ARP解析获得）。 

∙和单播IP地址 192.168.1.6 的通信：在进行相与计算时，1、3、6 项匹配，但是6项为最长匹配路由，因此选择6项。6项的网关地址为本地环回地址127.0.0.1，因此直接将数据包发送至本地环回地址。 

∙和单播IP地址 192.168.1.245 的通信：在进行相与计算时，1、3、4、5 项匹配，但是4、5项均为最长匹配路由，所以此时根据跃点数进行选择，5 项具有更低的跃点数，因此选择5项；在发送数据包时，目的IP地址为192.168.1.254、目的MAC地址为192.168.1.7的MAC地址（通过ARP解析获得）。 

∙和单播IP地址 10.1.1.1 的通信：在进行相与计算时，只有 1 项匹配；在发送数据包时，目的IP地址为10.1.1.1、目的MAC地址为192.168.1.1的MAC地址（通过ARP解析获得）。 

∙和子网广播地址 192.168.1.255 的通信：在进行相与计算时，1、3、4、5、7 项匹配，但是7项为最长匹配路由，因此选择7项。7项的网关地址为本地计算机的网络接口，因此在发送数据包时，目的IP地址为192.168.1.255，目的MAC地址为以太网广播地址FF:FF:FF:FF:FF:FF。  

默认路由与默认网关 

由于在路由表中存储针对每个主机或子网的路由项不可行，因此提出了默认路由的概念，默认路由中的网关称为默认网关。默认路由的网络地址为0.0.0.0，网络掩码为0.0.0.0，它匹配任何网络通信，因此当到达特定主机或特定子网的路由并未在路由表中指定时，均可以通过默认路由来进行转发。如果没有设置默认路由，那么无法到达未在路由表中指定路由项的网络目的地址。 

设置默认路由后，把数据包的路由责任移交到了路由器，优点是简化了本地计算机上的路由表和配置，缺点则是计算机无法明确目的地址是否可达，从而可能发送针对不可到达地址的流量。虽然位于路由路径上的路由器知道目的地址不可达时会使用ICMP目的地址不可达信息来通知原始发送主机，但是这个过程中，已经占用了额外的网络流量。 

在Windows系统中，创建默认路由可以通过以下两种方式实现： 

o在网络接口的TCP/IP选项中设置默认网关，从而创建默认路由； 

o使用 route add 命令添加网络地址为0.0.0.0、网络掩码为0.0.0.0的默认路由； 

当不同网络接口所连接的网络之间没有连接性时（如一个网络接口连接到Internet，而一个网络接口连接到内部网络），如果在多个网络接口上同时配置默认网关，在活动默认网关出现故障导致切换默认网关时，就可能会引起连接性故障。比如活动默认网关为Internet连接，当它出现问题时，此时默认网关切换为内部连接，此时，本地计算机将无法再访问位于Internet连接上的主机。对于这种情况，微软建议使用 route add 来添加对应目的网络的匹配路由，而不是设置多个默认网关。

1、命令行模式下输入route print,会显示路由表

2、查看表之后会发现，前两行会有两个0.0.0.0,一般第一个就是原来的路由表，第二个是拨号成功后产生的，这一点看接口就能看出来，第二行的接口就是VPN服务器自动分配给本机的IP地址。

3、再查看底行的DEFAULT GATEWAY项，可以看到网关已经变成了VPN服务器自动分配给本机的IP地址，也就是路由表第二行的接口地址。问题就在这里，本地的网关被改成了VPN虚拟地址，难怪上不了网。

4、知道问题所在就知道怎么解决了。首先要把路由表的第二行多出来的那个0.0.0.0删除。

   命令为：route delete 0.0.0.0 mask 0.0.0.0 192.168.0.3。说明：地址和掩码是0.0.0.0好理解，192.168.0.3这个地址就是VPN服务器分配给你的虚拟地址，也就是当前的网关。做了这条命令，应该可以上网了，因为网关又还原成原来的了，但VPN访问不可用了。没关系，用下一条命令就可以了。

5、命令为:route add 192.168.1.0 mask 255.255.255.0 192.168.0.3。说明：地址192.168.1.0是对方的局域网的网段，也就是你建立了VPN后，可以允许你远端访问的对方的内部网段， 255.255.255.0是网段的掩码，192.168.0.3就是上面说的拨号成功后分配给你的虚拟地址。至此上网和VPN访问都正常了。

总结：一般PPTP的VPN会自动从地址池里分配给你一个虚拟地址，这个地址可以不同于与当地的内部网段，比如内部网段是192.168.0.0,VPN 地址池是192.168.100.0,但这两段地址在路由器或防火墙里一定是做了路由的，远端拨VPN成功后，分配的虚拟地址会取代原来的网关，所以要点 就是把原来的网关恢复（第一条命令），再让访问远端网络的路由从分配的虚拟地址走（第二条命令）。