Twnnel llawn FortiClient: llwybro isrwydwaith y swyddfa yn unig

Mae'r twnnel yn codi, mae'r eicon yn troi'n wyrdd, ac mae'r rhwydwaith lleol yn diflannu: mae argraffwyr, y NAS a llwybrydd y swyddfa i gyd yn stopio ateb. Mae FortiClient yn gwneud yr hyn y gofynnodd y proffil amdano. Gwthiodd y porth lwybr diofyn, gosododd y cleient ef, ac mae gan bob pecyn lwybr i mewn i'r twnnel nawr. Addasiad i'r tabl llwybrau gydag addasiad DNS y tu ôl iddo yw'r trwsio, a gorchymyn y rhai hynny sy'n penderfynu a fydd y peiriant yn gorffen yn well neu'n waeth.

Beth osododd y cleient, a pham y diflannodd y LAN

Dechreuwch drwy ddarllen y tabl yn lle rhyngwyneb y cleient. Ar macOS mae netstat -rn yn argraffu'r tabl cyfan ac mae route -n get default yn enwi'r rhyngwyneb a'r metrig sy'n ennill ar hyn o bryd; ar Linux y pâr yw ip route show a ip route get 8.8.8.8. Mae'r ddau yn ateb un cwestiwn: pa gofnod fydd yn cario pecyn nad yw'n cyfateb i unrhyw beth mwy penodol.

Nid yw enw'r ddyfais twnnel wedi'i osod. Mae proffil IKEv2 ar macOS fel arfer yn dangos utun gyda rhif, mae cleient SSL VPN yn dangos ppp0, ac mae OpenVPN yn dangos tun0. Gall dau lwybr diofyn fod yn bresennol ar yr un pryd â metrigau gwahanol hefyd, ac efallai na fydd cofnod y cleient yn cymryd drosodd nes ar ôl ailgysylltu yn hytrach na'r eiliad y mae'n ymddangos. Dyna pam y gall dau ddyrnu tabl a gymerwyd bum munud ar wahân adrodd straeon gwahanol.

Pam mae'n rhaid i lwybr diofyn y twnnel fynd gyntaf

Mae'r cnewyllyn yn dewis y rhagosodiad cyfatebol hiraf, a phan fo sawl llwybr yr un mor benodol mae'n dewis yr un â'r metrig isaf. Felly mae cleient sy'n gosod 0.0.0.0/0 â metrig gwell yn ennill pob cyrchfan heb ddileu'r llwybr diofyn gwreiddiol, a dyna pam mae'r llwybr ffisegol yn dal yn y tabl ac yn dal i esbonio'r ymyrraeth. Mae tynnu llwybr diofyn y twnnel gyntaf yn adfer yr ymddygiad blaenorol. Dim ond wedyn y mae llwybr rhagosodiad drwy'r twnnel yn gwneud yr hyn a fwriadodd ei awdur.

Ychwanegu rhagosodiadau cyn y cam hwnnw yw'r camgymeriad sy'n cynhyrchu peiriant sy'n gweithio'n hanner. Mae traffig y rhagosodiad newydd yn dilyn y twnnel, ac mae popeth heb ei restru hefyd yn dilyn llwybr diofyn y twnnel, felly nid oes dim yn edrych yn doredig nes i rywun agor gwasanaeth na ychwanegodd neb. Dilëwch, adferwch, yna ychwanegwch, ac mae'r cyflwr canolradd yn aros yn rhagweladwy.

Y dilyniant ar macOS ac ar Linux

Ar macOS mae'r dilyniant yn dileu llwybr diofyn y twnnel, yn adfer y llwybr diofyn ffisegol ac yn anfon un rhagosodiad swyddfa yn ôl i'r twnnel. Amnewidiwch enwau rhyngwyneb eich tabl eich hun am y rhai enghreifftiol yma.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Ar Linux mae'r un drefn yn defnyddio offeryn gwahanol, gyda phorth y LAN ar gyfer y llwybr diofyn a dyfais y twnnel ar gyfer rhagosodiad y swyddfa. Mae'r hen orchymyn route yn dal i dderbyn yr hen gystrawen, ond ip route yw'r ffurf sy'n cyfateb i'r ddogfennaeth gyfredol.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Pan fo angen naid nesaf ar y llwybr yn hytrach na dyfais, cymerwch y peer o allbwn y cleient. Mae dyfalu yn cynhyrchu un o ddau gamgymeriad, ac maent yn golygu pethau gwahanol: mae porth anghywir yn rhoi network unreachable ar unwaith, tra mae targed twnnel anghywir yn rhoi terfyn amser. Darllenwch pa un a gawsoch cyn newid y gorchymyn eto.

Rhagosodiadau, y datryswr, a'r DMZ sy'n aros yn dywyll

Anaml y mae un rhagosodiad yn cwmpasu'r gwaith. Gall gweinyddion cymhwysiad, rhwydweithiau rheoli, y DMZ a'r gweinyddion DNS eu hunain fod pob un mewn amrediad gwahanol, felly rhestrwch bob amrediad y gallwch ei enwi cyn dechrau a phrofwch chwiliad wrth bob ping. Cyrchfan a ddarganfyddir yng nghanol y prawf yw'r un a anghofir yn y cofnod newid. Mae llwybr sy'n ateb drwy gyfeiriad ond yn methu drwy enw fel arfer yn broblem datryswr mewn gwisg llwybro.

Penderfyniad ar wahân yw'r datryswr. Pan fo'r proffil wedi gwthio gweinyddion DNS mewnol, gall tynnu'r llwybr diofyn adael y cyfeiriadau hynny'n anghyraeddadwy ar gyfer enwau cyhoeddus neu'n gyraeddadwy drwy'r twnnel yn unig, ac mae'r ddau gyflwr yn cynhyrchu canlyniadau rhannol dryslyd. Llwybrwch gyfeiriadau'r datryswr drwy'r twnnel, neu ffurfweddwch ddatrysiad fesul parth fel bod chwiliadau cyhoeddus yn defnyddio'r datryswr lleol.

Mae gan gleient SSL Linux fethiant sy'n benodol i faes ac sy'n werth ei wybod: mae'r twnnel yn cysylltu, mae LAN y swyddfa yn ateb, ac mae un amrediad DMZ yn aros yn dywyll. Y darn coll yw llwybr ar gyfer yr amrediad hwnnw drwy borth y twnnel, ac mae'r porth yn wahanol rhwng peiriannau, felly cyfeiriad wedi'i galedgodio yw sut y mae'r gliniadur nesaf yn torri. Deilliwch ef o gyflwr y cleient a chadwch y gorchymyn yn hunanddogfennol:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Darllenwch y ddau werth cyn ei redeg. peer yw pen pellaf twnnel pwynt-i-bwynt, sef y cyfeiriad y mae llwybr y DMZ yn ei angen; ar dwnnel wedi'i lwybro yr hyn sy'n cyfateb yw'r rhyngwyneb neu'r porth y mae'r cleient yn ei adrodd. Os nad yw'r naill na'r llall yn ymddangos, nid yw'r cleient yn y modd a dybiasoch.

Ar ôl y cysylltiad nesaf, a phryd i stopio gwneud hyn yn lleol

Mae FortiClient yn ailgysylltu ar ôl cwsg neu newid rhwydwaith ac yn ailosod beth bynnag y mae'r proffil yn ei nodi. Felly dim ond tan y cysylltiad nesaf y mae llwybrau â llaw yn goroesi, sef yn union yr ysbaid lle gall un prawf llwyddiannus edrych fel trwsio. Mae llwybr sy'n diflannu dros nos yn ymddygiad disgwyliedig, nid yn fai newydd.

Mae dau ateb parhaus. Mae sgript sy'n ailredeg y cywiriad ar ôl pob cysylltiad yn waith o amgylch a all oroesi ei hawdur, tra proffil twnnel hollt o'r gweinyddwr porth yw'r gwir drwsio, oherwydd wedyn dim ond yr amrediadau sydd eu hangen ar y gwaith y mae'r cleient yn eu gosod. Gofynnwch am yr ail a defnyddiwch y cyntaf dim ond wrth aros. Gwiriwch y polisi y cytunwyd arno hefyd cyn hollti twnnel llawn yn lleol, oherwydd efallai bod y rhwydwaith pell yn dibynnu ar weld eich holl draffig.

Mae'r rhestr wirio yn fyr: darllenwch y tabl, dilëwch lwybr diofyn y twnnel, adferwch lwybr diofyn y LAN, ychwanegwch bob rhagosodiad, trwsiwch y datrysiad ar wahân, a disgwyliwch i'r llwybrau ddychwelyd ar ailgysylltu.