FortiClient-voltonnel: stuur net die kantoor-subnet deur die tonnel

Die tonnel kom op, die ikoon word groen, en die plaaslike netwerk verdwyn: drukkers, die NAS en die kantoorroeteerder antwoord almal nie meer nie. FortiClient doen wat die profiel gevra het. Die hek het 'n verstekroete gestoot, die kliënt het dit geïnstalleer, en elke pakkie het nou 'n pad in die tonnel in. Die herstelling is 'n wysiging aan die roetetabel met 'n DNS-wysiging daarby, en die volgorde van daardie wysigings bepaal of die masjien beter of slegter daarvan afkom.

Wat die kliënt geïnstalleer het, en hoekom die LAN verdwyn het

Begin deur die tabel te lees eerder as die kliënt se koppelvlak. Op macOS druk netstat -rn die hele tabel uit en route -n get default noem die koppelvlak en metriekaanduider wat tans wen; op Linux is die paar ip route show en ip route get 8.8.8.8. Albei antwoord een vraag: watter inskrywing sal 'n pakkie dra wat aan niks meer spesifiek pas nie.

Die tonneltoestel se naam is nie vas nie. 'n IKEv2-profiel op macOS wys gewoonlik utun met 'n nommer, die SSL VPN-kliënt wys ppp0, en OpenVPN wys tun0. Twee verstekke kan ook op dieselfde tyd teenwoordig wees met verskillende metriekaanduiders, en die kliënt se inskrywing neem dalk eers oor ná 'n herverbinding eerder as die oomblik toe dit verskyn. Dis hoekom twee tabelafdrukke wat vyf minute uitmekaar geneem is, verskillende stories kan vertel.

Hoekom die tonnelverstek eerste moet gaan

Die kernel kies die langste passende voorvoegsel, en wanneer verskeie roetes ewe spesifiek is, kies dit die een met die laagste metriekaanduider. 'n Kliënt wat 0.0.0.0/0 met 'n beter metriekaanduider installeer, wen dus elke bestemming sonder om die oorspronklike verstek te verwyder, en dis hoekom die fisiese roete steeds in die tabel is en steeds die onderbreking verklaar. Om die tonnelverstek eerste te verwyder, herstel die vorige gedrag. Eers dan doen 'n voorvoegselroete deur die tonnel wat die outeur bedoel het.

Om voorvoegsels voor daardie stap by te voeg, is die fout wat 'n halfwerkende masjien lewer. Verkeer vir die nuwe voorvoegsel volg die tonnel, en alles wat nie gelys is nie, volg ook die tonnelverstek, so niks lyk stukkend tot iemand 'n diens oopmaak wat niemand bygevoeg het nie. Vee uit, herstel, voeg dan by, en die tussenstaat bly voorspelbaar.

Die volgorde op macOS en op Linux

Op macOS verwyder die volgorde die tonnelverstek, herstel die fisiese verstek en stuur een kantoorvoorvoegsel terug in die tonnel in. Vervang die koppelvlakname van jou eie tabel vir die illustratiewe een hier.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Op Linux gebruik dieselfde volgorde 'n ander gereedskap, met die LAN-hek vir die verstek en die tonneltoestel vir die kantoorvoorvoegsel. Die ou route-opdrag aanvaar steeds die ou sintaksis, maar ip route is die vorm wat by huidige dokumentasie pas.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Wanneer die roete 'n volgende sprong eerder as 'n toestel nodig het, neem die eweknie uit die kliënt se uitset. Raai lewer een van twee foute, en hulle beteken verskillende dinge: 'n verkeerde hek gee dadelik network unreachable, terwyl 'n verkeerde tonnelteiken 'n tydverloop gee. Lees watter een jy gekry het voordat jy die opdrag weer verander.

Voorvoegsels, die resolusie en die DMZ wat donker bly

Een voorvoegsel dek selde die werk. Toepassingbedieners, bestuursnetwerke, die DMZ en die DNS-bedieners self kan elkeen in 'n ander reeks sit, so lys elke reeks wat jy kan noem voordat jy begin en toets 'n opsoek langs elke ping. 'n Bestemming wat tydens die toets ontdek word, is die een wat in die veranderingsrekord vergeet word. 'n Roete wat per adres antwoord maar per naam faal, is gewoonlik 'n resolusieprobleem in 'n roeteringspak.

Die resolusie is 'n aparte besluit. Wanneer die profiel interne DNS-bedieners gestoot het, kan die verwydering van die verstek daardie adresse onbereikbaar laat vir publieke name of slegs deur die tonnel bereikbaar, en beide toestande lewer verwarrende gedeeltelike resultate. Stuur die resolusie-adresse deur die tonnel, of stel resolusie per domein op sodat publieke opsoeke die plaaslike resolusie gebruik.

Die Linux SSL-kliënt het 'n veldspesifieke faling wat die moeite werd is om te ken: die tonnel verbind, die kantoor-LAN antwoord, en een DMZ-reeks bly donker. Die ontbrekende stuk is 'n roete vir daardie reeks deur die tonnelhek, en die hek verskil tussen masjiene, so 'n hardgekodeerde adres is hoe die volgende skootrekenaar breek. Lei dit uit die kliënt se staat af en hou die opdrag selfdokumenterend:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Lees die twee waardes voordat jy dit hardloop. peer is die verre punt van 'n punt-tot-punt-tonnel, wat die adres is wat die DMZ-roete nodig het; op 'n geroteerde tonnel is die ekwivalent die koppelvlak of die hek wat die kliënt rapporteer. As nie een verskyn nie, is die kliënt nie in die modus wat jy aanvaar het nie.

Ná die volgende verbinding, en wanneer om dit plaaslik te staak

FortiClient verbind weer ná 'n slaap of 'n netwerkverandering en installeer weer wat die profiel spesifiseer. Handmatige roetes oorleef dus slegs tot die volgende verbinding, wat presies die interval is waarin 'n enkele suksesvolle toets soos 'n oplossing kan lyk. 'n Roete wat oornag verdwyn, is verwagte gedrag, nie 'n nuwe fout nie.

Twee duursame antwoorde bestaan. 'n Skrip wat die regstelling ná elke verbinding weer uitvoer, is 'n noodoplossing wat sy skrywer kan oorleef, terwyl 'n verdeelde-tonnel-profiel van die hekadministrateur die werklike oplossing is, want die kliënt installeer dan net die reekse wat die werk nodig het. Vra vir die tweede en gebruik die eerste net terwyl jy wag. Kontroleer ook die beleid wat jy aanvaar het voordat jy 'n voltonnel plaaslik verdeel, want die afgeleë netwerk mag daarop staatmaak om al jou verkeer te sien.

Die kontrolelys is kort: lees die tabel, verwyder die tonnelverstek, herstel die LAN-verstek, voeg elke voorvoegsel by, maak resolusie apart reg, en verwag dat die roetes by herverbinding terugkeer.