FortiClient tunel osoa: bideratu bulegoko azpisarea soilik

Tunela martxan jartzen da, ikonoa berde bihurtzen da eta tokiko sarea desagertu egiten da: inprimagailuak, NASa eta bulegoko bideratzailea erantzuteari uzten diote. FortiClientek profileak eskatu zuena egiten du. Atebideak defektuzko bidea bultzatu zuen, bezeroak instalatu egin zuen, eta pakete bakoitzak tunelera sartzeko bidea du orain. Konponketa bideratze-taulan egindako aldaketa bat da, atzean DNS aldaketa bat duela, eta aldaketa horien ordenak erabakitzen du makina hobe edo okerrago ateratzen den.

Zer instalatu zuen bezeroak, eta zergatik desagertu zen LANa

Hasi taula irakurtzen, bezeroaren interfazea baino lehen. macOSen netstat -rn-k taula osoa inprimatzen du eta route -n get default-k orain irabazten duen interfazea eta metrika izendatzen ditu; Linuxen bikotea ip route show eta ip route get 8.8.8.8 da. Biek galdera bati erantzuten diote: zein sarrerek eramango du ezer zehatzagorekin bat egiten ez duen paketea.

Tunel-gailuaren izena ez da finkoa. macOSeko IKEv2 profilek normalean utun erakusten du zenbaki batekin, SSL VPN bezeroak ppp0 erakusten du eta OpenVPNk tun0. Bi defektuzko bide ere egon daitezke aldi berean metrika desberdinekin, eta bezeroaren sarrera konexio berri baten ondoren bakarrik jabetu daiteke, agertzen den unean beharrean. Horregatik bost minutuko tartea duten taula-ateratze biek istorio desberdinak konta ditzakete.

Zergatik joan behar du tunelaren defektuzko bideak aurrena

Kernelak bat datozen aurrizkirik luzeena aukeratzen du, eta bide batzuk berdin zehatzak direnean metrikarik txikiena duena aukeratzen du. Beraz, 0.0.0.0/0 metrika hobearekin instalatzen duen bezeroak helmuga guztiak irabazten ditu jatorrizko defektuzko bidea ezabatuta gabe, eta horregatik dago bide fisikoa oraindik taulan eta oraindik azaltzen du etenaldia. Tunelaren defektuzko bidea aurrena kentzeak aurreko portaera leheneratzen du. Orduan soilik egiten du tunelaren bidezko aurrizki-bideak bere egileak nahi zuena.

Urrats hori baino lehen aurrizkiak gehitzea da erdi funtzionatzen duen makina sortzen duen akatsa. Aurrizki berrirako trafikoak tunela jarraitzen du, eta zerrendan ez dagoen guztiak tunelaren defektuzko bidea ere jarraitzen du, beraz ezer ez da hautsita ematen inork inork gehitu ez zuen zerbitzu bat ireki arte. Ezabatu, leheneratu, gero gehitu, eta bitarteko egoera aurreikusteko modukoa izaten jarraitzen du.

Segida macOSen eta Linuxen

macOSen segidak tunelaren defektuzko bidea ezabatzen du, defektuzko bide fisikoa leheneratzen du eta bulegoko aurrizki bat tunelera bidaltzen du berriro. Ordeztu hemen agertzen diren interfaze-izen adierazgarriak zure taulakoekin.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Linuxen ordena berak beste tresna bat erabiltzen du: LANeko atebidea defektuzko biderako eta tunel-gailua bulegoko aurrizkirako. route komando zaharrak sintaxi zaharra onartzen du oraindik, baina ip route da uneko dokumentazioarekin bat datorren forma.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Bideak gailu bat beharrean hurrengo jauzi bat behar duenean, hartu peer-a bezeroaren irteeratik. Asmatzeak bi erroreetako bat ematen du, eta esanahi desberdina dute: atebide okerrak network unreachable ematen du berehala, tunel-helburu okerrak denbora-muga ematen duen bitartean. Irakurri zein lortu duzun komandoa berriro aldatu aurretik.

Aurrizkiak, ebazpena eta ilun geratzen den DMZa

Aurrizki batek gutxitan estaltzen du lana. Aplikazio-zerbitzariek, kudeaketa-sareek, DMZak eta DNS zerbitzariek beraiek tarte desberdin batean egon daitezke bakoitza, beraz zerrendatu hasi aurretik izenda ditzakezun tarte guztiak eta probatu bilaketa bat ping bakoitzaren ondoan. Proban zehar aurkitutako helmuga da aldaketen erregistroan ahazten dena. Helbidearen arabera erantzun baina izenaren arabera huts egiten duen bidea ebazpen-problema izan ohi da bideratze-jantzitan.

Ebazpena erabaki bereizia da. Profileak barneko DNS zerbitzariak bultzatu dituenean, defektuzko bidea kentzeak helbide horiek izen publikoetarako iristezin utz ditzake edo tunelaren bidez soilik iristeko moduan, eta bi egoerek emaitza partzial nahasgarriak ematen dituzte. Bideratu ebazpenaren helbideak tunelaren bidez, edo konfiguratu domeinuko ebazpena bilaketa publikoek tokiko ebazpena erabil dezaten.

Linuxeko SSL bezeroak eremu zehatzeko hutsegite bat du, ezagutzea merezi duena: tunela konektatu egiten da, bulegoko LANak erantzuten du, eta DMZ tarte bat ilun geratzen da. Falta den pieza tunel-atebidearen bidez tarte horretarako bidea da, eta atebidea makina batetik bestera aldatzen da, beraz gogor kodetutako helbidea da hurrengo eramangarria nola hausten den. Atera ezazu bezeroaren egoeratik eta eduki komandoa autodokumentatua:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Irakurri bi balioak exekutatu aurretik. peer puntutik punturako tunel baten urruneko muturra da, eta hori da DMZ bideak behar duen helbidea; bideratutako tunel batean baliokidea bezeroak jakinarazten duen interfazea edo atebidea da. Bat ere agertzen ez bada, bezeroa ez da suposatu duzun moduan.

Hurrengo konexioaren ondoren, eta noiz utzi hau bertan egiteari

FortiClientek loaldi edo sare-aldaketaren ondoren berriro konektatzen du eta profileak zehazten duena berriro instalatzen du. Beraz, eskuzko bideek hurrengo konexiora arte soilik irauten dute, eta horixe da proba arrakastatsu batek konponketa ematen duen tartea. Gauez desagertzen den bidea espero den portaera da, ez akats berria.

Bi erantzun iraunkor daude. Konexio bakoitzaren ondoren zuzenketa berriro exekutatzen duen scripta bere egilea baino gehiago bizi daitekeen aldi baterako konponbidea da, eta atebidearen administratzailearen tunel zatituaren profila da konponketa benetakoa, orduan bezeroak lanak behar dituen tarteak soilik instalatzen baititu. Eskatu bigarrena eta erabili lehena itxaroten duzun bitartean soilik. Egiaztatu ere onartu duzun politika tunel osoa bertan zatitu aurretik, urruneko sareak zure trafiko guztia ikustean oinarritu baitaiteke.

Egiaztapen-zerrenda laburra da: irakurri taula, ezabatu tunelaren defektuzko bidea, leheneratu LANaren defektuzko bidea, gehitu aurrizki bakoitza, konpondu ebazpena bereizita, eta espero bideak berriro konektatzean itzultzea.