OpenConnect 无法到达仅 VPN 目的地

Question 1

根据 KRyan 的回答，我修改了我的 openconnect 脚本（openconnect gui 文件夹中的 vpnc-script.js！）像这样，它在类似情况下帮助了我：

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask);
    }

=>

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask + " " + internal_gw+" metric 2 if "+env("TUNIDX"));
    }

（第 175 行）

我认为错误在这里：

// Calculate the first usable address in subnet
var internal_gw_array = new Array(
    address_array[0] & netmask_array[0],
    address_array[1] & netmask_array[1],
    address_array[2] & netmask_array[2],
    (address_array[3] & netmask_array[3]) + 1
);
var internal_gw = internal_gw_array.join(".");

当我通过传入内部 IP 的网络掩码为 255.255.255.255 时var netmask_array = env("INTERNAL_IP4_NETMASK").split(".");，此网关技巧（最终路由会转到一个接口，网关 IP 在这里毫无意义）似乎失败了

Answer

根据 KRyan 的回答，我修改了我的 openconnect 脚本（openconnect gui 文件夹中的 vpnc-script.js！）像这样，它在类似情况下帮助了我：

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask);
    }

=>

for (var i = 0 ; i < parseInt(env("CISCO_SPLIT_INC")); i++) {
        var network = env("CISCO_SPLIT_INC_" + i + "_ADDR");
        var netmask = env("CISCO_SPLIT_INC_" + i + "_MASK");
        var netmasklen = env("CISCO_SPLIT_INC_" + i + "_MASKLEN");
        exec("route add " + network + " mask " + netmask + " " + internal_gw+" metric 2 if "+env("TUNIDX"));
    }

（第 175 行）

我认为错误在这里：

// Calculate the first usable address in subnet
var internal_gw_array = new Array(
    address_array[0] & netmask_array[0],
    address_array[1] & netmask_array[1],
    address_array[2] & netmask_array[2],
    (address_array[3] & netmask_array[3]) + 1
);
var internal_gw = internal_gw_array.join(".");

当我通过传入内部 IP 的网络掩码为 255.255.255.255 时var netmask_array = env("INTERNAL_IP4_NETMASK").split(".");，此网关技巧（最终路由会转到一个接口，网关 IP 在这里毫无意义）似乎失败了

Question 2

我猜对了，问题出在路线上。经过多次尝试和错误才找到正确答案，但最终在连接后手动更新路线成功了。

奇怪的是，route CHANGE不起作用；我不得不使用route ADD，尽管据我所知，这些路由在我连接后已经存在。我使用了相同的目的地、掩码和网关，然后METRIC 2 IF 17（由于“TAP-Windows 适配器 V9”接口使用 17 — 我怀疑它会在每次重启时发生变化？断开连接和重新连接似乎目前一致使用 17，但正如您在问题中看到的那样，它当时使用的是 63）。完成此操作后，route PRINT该目的地列出了两个条目（一个由 OpenConnect 添加，另一个是我添加的），它允许我连接。

不过，我觉得非常奇怪的是，我新添加的路线的度量为 37 — 不是我在命令中输入的 2 route ADD，而且大于现有条目的 36。但无论如何，它都能正常工作。

幸运的是，我们的项目维护了一个hosts文件（开发人员在开始处理时将其复制到自己的hosts文件中，我们的构建工具会根据该文件进行检查），因此我能够编写一个批处理脚本来调整路线。为了方便其他想要这样做的人，我的批处理脚本如下所示

FOR /F "tokens=1" %%i IN (\path\to\our\development\hosts) DO (
    route ADD %%i MASK 255.255.255.255 a.b.c.d METRIC 2 IF 17
)

文件hosts格式与系统文件相同：a.b.c.d URL。此脚本不支持注释（尽管我想象注释route ADD将会失败），我不知道空行是否会成为问题（但同样，可能只是注释失败route ADD）。

我可能必须针对 17 进行调整，因为我怀疑它不会是常数；当它出现时，我会研究如何确定它是什么，并使用变量来代替它。（我也会更新这个答案。）

Answer