Tollán iomlán FortiClient: ródú a dhéanamh ar fhoirlíon na hoifige amháin

Tagann an tollán suas, iompaíonn an deilbhín glas agus imíonn an líonra áitiúil: stopann printéirí, an NAS agus ródaire na hoifige ag freagairt. Tá FortiClient ag déanamh an rud a d'iarr an próifíl. Bhrúigh an geata ród réamhshocraithe, shuiteáil an cliant é, agus tá cosán isteach sa tollán ag gach paicéad anois. Is é an deisiú ná eagarthóireacht ar an tábla ród agus eagarthóireacht DNS taobh thiar di, agus socraíonn ord na n-eagarthóireachtaí sin an dtiocfaidh an meaisín amach níos fearr nó níos measa.

Cad a shuiteáil an cliant, agus cén fáth ar imigh an LAN

Cuir tús le léamh an tábla seach comhéadan an chliaint. Ar macOS priontálann netstat -rn an tábla ar fad agus ainmníonn route -n get default an comhéadan agus an mhéadrach a bhuann faoi láthair; ar Linux is é an péire ip route show agus ip route get 8.8.8.8. Freagraíonn an dá cheann ceist amháin: cén iontráil a iompróidh paicéad nach bhfuil ag teacht le haon rud níos sonraí.

Níl ainm na gléise tolláin seasta. Taispeánann próifíl IKEv2 ar macOS utun le huimhir de ghnáth, taispeánann an cliant SSL VPN ppp0, agus taispeánann OpenVPN tun0. Is féidir dhá ród réamhshocraithe a bheith i láthair ag an am céanna le méadracha éagsúla freisin, agus b'fhéidir nach dtógfaidh iontráil an chliaint ceannas ach tar éis athnascadh seach an nóiméad a fheictear í. Sin an fáth ar féidir le dhá dhump den tábla a tógtar cúig nóiméad ó chéile scéalta éagsúla a insint.

Cén fáth go gcaithfidh ród réamhshocraithe an tolláin imeacht ar dtús

Roghnaíonn an t-eithne an réimír mheaitseála is faide, agus nuair a bhíonn roinnt ród chomh sonrach céanna roghnaíonn sé an ceann leis an méadrach is ísle. Mar sin bíonn an cliant a shuiteálann 0.0.0.0/0 le méadrach níos fearr i mbarr gach cinn scríbe gan an ród réamhshocraithe bunaidh a scriosadh, agus sin an fáth a bhfuil an ród fisiceach fós sa tábla agus fós ag míniú an tsoláthair. Má bhaintear ród réamhshocraithe an tolláin ar dtús, cuirtear an t-iompar roimhe ar ais. Is ansin amháin a dhéanann ród réimíre tríd an tollán an rud a bhí ar intinn ag a húdar.

Is é réimíreanna a chur leis roimh an gcéim sin an botún a tháirgeann meaisín atá ag obair go leath. Leanann trácht na réimíre nua an tollán, agus leanann gach rud nach bhfuil sa liosta ród réamhshocraithe an tolláin freisin, mar sin ní bhíonn aon rud briste le feiceáil go dtí go n-osclaíonn duine seirbhís nár chuir aon duine leis. Scrios, cuir ar ais, ansin cuir leis, agus fanann an staid idirmheánach intuartha.

An seicheamh ar macOS agus ar Linux

Ar macOS scriosann an seicheamh ród réamhshocraithe an tolláin, cuireann sé an ród réamhshocraithe fisiceach ar ais agus seolann sé réimír oifige amháin ar ais isteach sa tollán. Cuir ainmneacha comhéadain do thábla féin in ionad na cinn léiritheacha anseo.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Ar Linux úsáideann an t-ord céanna uirlis eile, le geata an LAN don ród réamhshocraithe agus gléas an tolláin do réimír na hoifige. Glacann an seanordú route leis an seansintéis fós, ach is é ip route an fhoirm a thagann leis an gcáipéisíocht reatha.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Nuair a theastaíonn an chéad chéim eile ón ród seach gléas, tóg an peer ó aschur an chliaint. Tugann buille faoi thuairim ceann de dhá earráid, agus ciallaíonn siad rudaí difriúla: tugann geata mícheart network unreachable láithreach, agus tugann sprioc tolláin mhícheart am istigh. Léigh cé acu a fuair tú sula n-athraíonn tú an t-ordú arís.

Réimíreanna, an réititheoir agus an DMZ a fhanann dorcha

Is annamh a chlúdaíonn réimír amháin an obair. Is féidir freastalaithe feidhmchlár, líonraí bainistíochta, an DMZ agus na freastalaithe DNS iad féin a bheith i raonta éagsúla, mar sin liostaigh gach raon ar féidir leat a ainmniú sula dtosaíonn tú agus tástáil cuardach in aice le gach ping. Is é an ceann scríbe a fhaightear i lár na trialach an ceann a ndéantar dearmad air sa taifead athraithe. Is fadhb réititheora i gcósta ródaithe é ród a fhreagraíonn de réir seoladh ach a theipeann de réir ainm de ghnáth.

Is cinneadh ar leith é an réititheoir. Nuair a bhrúigh an próifíl freastalaithe DNS inmheánacha, féadfaidh baint an róid réamhshocraithe na seoltaí sin a fhágáil gan rochtain d'ainmneacha poiblí nó inrochtana tríd an tollán amháin, agus táirgeann an dá staid torthaí páirteacha mearbhallacha. Ródaigh seoltaí an réititheora tríd an tollán, nó cumraigh réiteach de réir fearainn ionas go n-úsáidfidh cuardaigh phoiblí an réititheoir áitiúil.

Tá teip shonrach réime ag cliant SSL Linux ar fiú eolas a bheith agat uirthi: nascann an tollán, freagraíonn LAN na hoifige, agus fanann raon DMZ amháin dorcha. Is é an píosa atá ar iarraidh ród don raon sin trí gheata an tolláin, agus ní hionann an geata idir meaisíní, mar sin is é seoladh crua-chódaithe an bealach a bhriseann an chéad ríomhaire glúine eile. Faigh é ó staid an chliaint agus coinnigh an t-ordú féindhoiciméadaithe:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Léigh an dá luach sula rithfidh tú é. Is é peer foirceann i bhfad tolláin pointe-go-pointe, agus is é sin an seoladh a theastaíonn ó ród an DMZ; ar thollán ródaithe is é an comhéadan nó an geata a thuairiscíonn an cliant an coibhéis. Mura bhfeictear ceachtar acu, níl an cliant sa mhód a ghlac tú leis.

Tar éis an chéad nasc eile, agus cathain a stopfaidh tú é seo a dhéanamh go háitiúil

Athnascann FortiClient tar éis codlata nó athraithe líonra agus athshuiteálann sé cibé rud a shonraíonn an próifíl. Mar sin ní mhaireann róid láimhe ach go dtí an chéad nasc eile, agus sin go díreach an t-eatramh inar féidir le tástáil amháin rathúil breathnú mar dheisiú. Is iompar a bhfuiltear ag súil leis é ród a imíonn thar oíche, ní locht nua.

Tá dhá fhreagra mharthanacha ann. Is seachbhóthar é script a athritheann an ceartú tar éis gach naisc a d'fhéadfadh maireachtáil níos faide ná a húdar, agus is é próifíl tolláin scoilte ó riarthóir an gheata an fíordheisiú, toisc go suiteálann an cliant ansin na raonta a theastaíonn ón obair amháin. Iarr an dara ceann agus ná húsáid an chéad cheann ach agus tú ag fanacht. Seiceáil freisin an beartas ar aontaigh tú roimhe seo sula scoilteann tú tollán iomlán go háitiúil, mar b'fhéidir go mbraitheann an líonra cianda ar do thrácht ar fad a fheiceáil.

Tá an tseicliosta gearr: léigh an tábla, scrios ród réamhshocraithe an tolláin, cuir ród réamhshocraithe an LAN ar ais, cuir gach réimír leis, deisigh an réiteach ar leithligh, agus bí ag súil go dtiocfaidh na róid ar ais ag athnascadh.