Πλήρης σήραγγα FortiClient: δρομολόγηση μόνο του υποδικτύου γραφείου

Η σήραγγα ανεβαίνει, το εικονίδιο γίνεται πράσινο και το τοπικό δίκτυο εξαφανίζεται: εκτυπωτές, το NAS και το router του γραφείου σταματούν όλα να απαντούν. Το FortiClient κάνει αυτό που ζήτησε το προφίλ. Η πύλη έσπρωξε μια προεπιλεγμένη διαδρομή, ο πελάτης την εγκατέστησε και κάθε πακέτο έχει τώρα διαδρομή μέσα στη σήραγγα. Η επιδιόρθωση είναι μια αλλαγή στον πίνακα δρομολόγησης με μια αλλαγή DNS από πίσω, και η σειρά αυτών των αλλαγών καθορίζει αν το μηχάνημα θα βγει καλύτερο ή χειρότερο.

Τι εγκατέστησε ο πελάτης και γιατί εξαφανίστηκε το LAN

Ξεκινήστε διαβάζοντας τον πίνακα αντί για τη διεπαφή του πελάτη. Στο macOS το netstat -rn εκτυπώνει ολόκληρο τον πίνακα και το route -n get default ονομάζει τη διεπαφή και τη μετρική που κερδίζουν αυτή τη στιγμή· στο Linux το ζεύγος είναι ip route show και ip route get 8.8.8.8. Και τα δύο απαντούν σε ένα ερώτημα: ποια καταχώριση θα μεταφέρει ένα πακέτο που δεν ταιριάζει με τίποτα πιο συγκεκριμένο.

Το όνομα της συσκευής σήραγγας δεν είναι σταθερό. Ένα προφίλ IKEv2 στο macOS δείχνει συνήθως utun με έναν αριθμό, ο πελάτης SSL VPN δείχνει ppp0 και το OpenVPN δείχνει tun0. Δύο προεπιλεγμένες διαδρομές μπορεί επίσης να υπάρχουν ταυτόχρονα με διαφορετικές μετρικές, και η καταχώριση του πελάτη μπορεί να αναλάβει μόνο μετά από επανασύνδεση και όχι τη στιγμή που εμφανίζεται. Γι' αυτό δύο εκτυπώσεις του πίνακα με πέντε λεπτά διαφορά μπορεί να λένε διαφορετικές ιστορίες.

Γιατί η προεπιλεγμένη διαδρομή της σήραγγας πρέπει να φύγει πρώτη

Ο πυρήνας διαλέγει το μακρύτερο ταιριαστό πρόθεμα, και όταν πολλές διαδρομές είναι εξίσου συγκεκριμένες διαλέγει εκείνη με τη χαμηλότερη μετρική. Ένας πελάτης που εγκαθιστά το 0.0.0.0/0 με καλύτερη μετρική κερδίζει επομένως κάθε προορισμό χωρίς να διαγράψει την αρχική προεπιλεγμένη διαδρομή, και γι' αυτό η φυσική διαδρομή είναι ακόμη στον πίνακα και εξηγεί ακόμη τη διακοπή. Η αφαίρεση πρώτα της προεπιλεγμένης διαδρομής της σήραγγας επαναφέρει την προηγούμενη συμπεριφορά. Μόνο τότε μια διαδρομή προθέματος μέσα από τη σήραγγα κάνει αυτό που σκόπευε ο συντάκτης της.

Το να προσθέσετε προθέματα πριν από αυτό το βήμα είναι το λάθος που παράγει μηχάνημα μισής λειτουργίας. Η κίνηση για το νέο πρόθεμα ακολουθεί τη σήραγγα, και ό,τι δεν είναι στη λίστα ακολουθεί επίσης την προεπιλεγμένη διαδρομή της σήραγγας, οπότε τίποτα δεν φαίνεται χαλασμένο μέχρι κάποιος να ανοίξει μια υπηρεσία που δεν πρόσθεσε κανείς. Διαγράψτε, επαναφέρετε και μετά προσθέστε, και η ενδιάμεση κατάσταση μένει προβλέψιμη.

Η σειρά σε macOS και σε Linux

Στο macOS η σειρά διαγράφει την προεπιλεγμένη διαδρομή της σήραγγας, επαναφέρει τη φυσική προεπιλεγμένη διαδρομή και στέλνει ένα πρόθεμα γραφείου πίσω στη σήραγγα. Αντικαταστήστε τα ενδεικτικά ονόματα διεπαφών εδώ με εκείνα του δικού σας πίνακα.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Στο Linux η ίδια σειρά χρησιμοποιεί άλλο εργαλείο, με την πύλη του LAN για την προεπιλεγμένη διαδρομή και τη συσκευή σήραγγας για το πρόθεμα του γραφείου. Η παλιά εντολή route δέχεται ακόμη την παλιά σύνταξη, αλλά το ip route είναι η μορφή που ταιριάζει με την τρέχουσα τεκμηρίωση.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Όταν η διαδρομή χρειάζεται επόμενο άλμα αντί για συσκευή, πάρτε το peer από την έξοδο του πελάτη. Η εικασία δίνει ένα από δύο σφάλματα, και σημαίνουν διαφορετικά πράγματα: λάθος πύλη δίνει αμέσως network unreachable, ενώ λάθος στόχος σήραγγας δίνει χρονικό όριο. Διαβάστε ποιο πήρατε πριν αλλάξετε ξανά την εντολή.

Προθέματα, ο resolver και το DMZ που μένει σκοτεινό

Ένα πρόθεμα σπάνια καλύπτει τη δουλειά. Διακομιστές εφαρμογών, δίκτυα διαχείρισης, το DMZ και οι ίδιοι οι διακομιστές DNS μπορεί να βρίσκονται το καθένα σε διαφορετικό εύρος, οπότε απαριθμήστε κάθε εύρος που μπορείτε να ονομάσετε πριν ξεκινήσετε και δοκιμάστε μια αναζήτηση δίπλα σε κάθε ping. Ένας προορισμός που ανακαλύπτεται στη μέση της δοκιμής είναι αυτός που ξεχνιέται στο αρχείο αλλαγών. Μια διαδρομή που απαντά με διεύθυνση αλλά αποτυγχάνει με όνομα είναι συνήθως πρόβλημα resolver με στολή δρομολόγησης.

Ο resolver είναι ξεχωριστή απόφαση. Όταν το προφίλ έσπρωξε εσωτερικούς διακομιστές DNS, η αφαίρεση της προεπιλεγμένης διαδρομής μπορεί να αφήσει αυτές τις διευθύνσεις απρόσιτες για δημόσια ονόματα ή προσβάσιμες μόνο μέσα από τη σήραγγα, και οι δύο καταστάσεις δίνουν μπερδεμένα μερικά αποτελέσματα. Δρομολογήστε τις διευθύνσεις του resolver μέσα από τη σήραγγα ή ρυθμίστε επίλυση ανά τομέα ώστε οι δημόσιες αναζητήσεις να χρησιμοποιούν τον τοπικό resolver.

Ο πελάτης SSL του Linux έχει μια αποτυχία ειδική για πεδίο που αξίζει να γνωρίζετε: η σήραγγα συνδέεται, το LAN του γραφείου απαντά και ένα εύρος DMZ μένει σκοτεινό. Το κομμάτι που λείπει είναι μια διαδρομή για αυτό το εύρος μέσα από την πύλη της σήραγγας, και η πύλη διαφέρει από μηχάνημα σε μηχάνημα, οπότε μια σκληρά κωδικοποιημένη διεύθυνση είναι ο τρόπος που σπάει το επόμενο φορητό. Παράγετέ την από την κατάσταση του πελάτη και κρατήστε την εντολή αυτοτεκμηριωμένη:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Διαβάστε τις δύο τιμές πριν την εκτελέσετε. Το peer είναι το απομακρυσμένο άκρο μιας σήραγγας σημείου-προς-σημείο, και αυτή είναι η διεύθυνση που χρειάζεται η διαδρομή DMZ· σε δρομολογημένη σήραγγα το ισοδύναμο είναι η διεπαφή ή η πύλη που αναφέρει ο πελάτης. Αν δεν εμφανίζεται κανένα, ο πελάτης δεν είναι στη λειτουργία που υποθέσατε.

Μετά την επόμενη σύνδεση και πότε να σταματήσετε να το κάνετε τοπικά

Το FortiClient επανασυνδέεται μετά από ύπνο ή αλλαγή δικτύου και επανεγκαθιστά ό,τι ορίζει το προφίλ. Οι χειροκίνητες διαδρομές επιβιώνουν επομένως μόνο μέχρι την επόμενη σύνδεση, που είναι ακριβώς το διάστημα στο οποίο μια μόνο επιτυχημένη δοκιμή μπορεί να μοιάζει με διόρθωση. Μια διαδρομή που εξαφανίζεται τη νύχτα είναι αναμενόμενη συμπεριφορά, όχι νέα βλάβη.

Υπάρχουν δύο διαρκείς απαντήσεις. Ένα σενάριο που ξανατρέχει τη διόρθωση μετά από κάθε σύνδεση είναι προσωρινή λύση που μπορεί να ζήσει περισσότερο από τον συντάκτη της, ενώ ένα προφίλ διαχωρισμένης σήραγγας από τον διαχειριστή της πύλης είναι η πραγματική διόρθωση, γιατί τότε ο πελάτης εγκαθιστά μόνο τα εύρη που χρειάζεται η δουλειά. Ζητήστε το δεύτερο και χρησιμοποιήστε το πρώτο μόνο όσο περιμένετε. Ελέγξτε επίσης την πολιτική που συμφωνήσατε πριν διαχωρίσετε μια πλήρη σήραγγα τοπικά, γιατί το απομακρυσμένο δίκτυο μπορεί να βασίζεται στο να βλέπει όλη την κίνησή σας.

Η λίστα ελέγχου είναι σύντομη: διαβάστε τον πίνακα, διαγράψτε την προεπιλεγμένη διαδρομή της σήραγγας, επαναφέρετε την προεπιλεγμένη διαδρομή LAN, προσθέστε κάθε πρόθεμα, διορθώστε την επίλυση ξεχωριστά και περιμένετε οι διαδρομές να επιστρέψουν στην επανασύνδεση.