FortiClient teljes alagút: csak az irodai alhálózatot irányítsa

Az alagút feljön, az ikon zöldre vált, és a helyi hálózat eltűnik: a nyomtatók, a NAS és az irodai router mind leállnak válaszolni. A FortiClient azt teszi, amit a profil kért. Az átjáró elküldte az alapértelmezett útvonalat, a kliens telepítette, és most minden csomagnak van útja az alagútba. A javítás az útvonaltábla szerkesztése, mögötte egy DNS-szerkesztés, és ezek sorrendje dönti el, hogy a gép jobban vagy rosszabbul jön ki belőle.

Mit telepített a kliens, és miért tűnt el a LAN

Kezdje a táblázat olvasásával a kliens felülete helyett. macOS-en a netstat -rn kinyomtatja a teljes táblázatot, a route -n get default pedig megnevezi az éppen nyerő felületet és metrikát; Linuxon a pár a ip route show és a ip route get 8.8.8.8. Mindkettő egy kérdésre válaszol: melyik bejegyzés viszi azt a csomagot, amely semmi konkrétabbhoz nem illeszkedik.

Az alagúteszköz neve nem rögzített. A macOS-es IKEv2-profil általában számot tartalmazó utun néven jelenik meg, a SSL VPN kliens ppp0 néven, az OpenVPN pedig tun0 néven. Két alapértelmezett útvonal is jelen lehet egyszerre, eltérő metrikákkal, és a kliens bejegyzése csak újracsatlakozás után veheti át a vezetést, nem a megjelenés pillanatában. Ezért két, öt perces különbséggel készült táblázatkivonat különböző történeteket mesélhet.

Miért kell az alagút alapértelmezett útvonalának először elmennie

A kernel a leghosszabb illeszkedő előtagot választja, és amikor több útvonal egyformán konkrét, a legalacsonyabb metrikájút. Ezért az a kliens, amelyik a 0.0.0.0/0 útvonalat jobb metrikával telepíti, minden célállomást megnyer az eredeti alapértelmezett útvonal törlése nélkül, és ezért van a fizikai útvonal még mindig a táblázatban, és ezért magyarázza még mindig a kiesést. Az alagút alapértelmezett útvonalát először eltávolítva helyreáll a korábbi viselkedés. Csak ezután teszi az alagúton átmenő előtag-útvonal azt, amit a szerzője szánt.

Az előtagok hozzáadása e lépés előtt az a hiba, amely félig működő gépet eredményez. Az új előtag forgalma követi az alagutat, és minden listázatlan is követi az alagút alapértelmezett útvonalát, így semmi sem tűnik töröttnek, amíg valaki meg nem nyit egy szolgáltatást, amelyet senki nem adott hozzá. Töröljön, állítson vissza, aztán adjon hozzá, és a köztes állapot kiszámítható marad.

A sorrend macOS-en és Linuxon

macOS-en a sorrend törli az alagút alapértelmezett útvonalát, visszaállítja a fizikai alapértelmezett útvonalat, és egy irodai előtagot visszaküld az alagútba. Cserélje ki az itteni szemléltető felületneveket a saját táblázatából származókkal.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Linuxon ugyanez a sorrend más eszközt használ: az alapértelmezett útvonalhoz a LAN átjáróját, az irodai előtaghoz az alagúteszközt. A régi route parancs még elfogadja a régi szintaxist, de a ip route az a forma, amely megfelel a jelenlegi dokumentációnak.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Amikor az útvonalnak eszköz helyett következő ugrásra van szüksége, vegye a peer értéket a kliens kimenetéből. A találgatás két hiba egyikét adja, és ezek különbözőt jelentenek: a rossz átjáró azonnal network unreachable hibát ad, míg a rossz alagútcél időtúllépést. Olvassa el, melyiket kapta, mielőtt újra módosítja a parancsot.

Előtagok, a feloldó és a sötétben maradó DMZ

Egy előtag ritkán fedi le a munkát. Az alkalmazásszerverek, a felügyeleti hálózatok, a DMZ és maguk a DNS-szerverek mind más-más tartományban lehetnek, ezért a kezdés előtt sorolja fel az összes megnevezhető tartományt, és minden ping mellé tegyen egy névfeloldási próbát. A teszt közben felfedezett célállomás az, amelyik kimarad a változásnyilvántartásból. Az az útvonal, amely címre válaszol, de névre nem, általában útválasztó jelmezbe bújt feloldási probléma.

A feloldó külön döntés. Amikor a profil belső DNS-szervereket küldött, az alapértelmezett útvonal elvétele miatt ezek a címek elérhetetlenek lehetnek a nyilvános nevekhez, vagy csak az alagúton át érhetők el, és mindkét állapot zavaró részeredményeket ad. Irányítsa a feloldó címeit az alagúton át, vagy állítson be tartományonkénti feloldást, hogy a nyilvános lekérdezések a helyi feloldót használják.

A Linux SSL-kliensnek van egy mezőspecifikus hibája, amelyet érdemes ismerni: az alagút csatlakozik, az irodai LAN válaszol, és egy DMZ-tartomány sötét marad. A hiányzó darab egy útvonal ehhez a tartományhoz az alagút átjáróján keresztül, és az átjáró gépenként eltér, ezért a keményen kódolt cím az, ahogy a következő laptop eltörik. Vezesse le a kliens állapotából, és tartsa a parancsot öndokumentálónak:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Olvassa el a két értéket, mielőtt futtatja. A peer egy pont-pont alagút távoli vége, és ez az a cím, amelyre a DMZ-útvonalnak szüksége van; irányított alagút esetén a megfelelő a kliens által jelentett felület vagy átjáró. Ha egyik sem jelenik meg, a kliens nem abban a módban van, amelyet feltételezett.

A következő csatlakozás után, és mikor hagyja abba ezt helyben

A FortiClient alvás vagy hálózatváltás után újracsatlakozik, és újratelepíti mindazt, amit a profil előír. A kézi útvonalak ezért csak a következő csatlakozásig maradnak meg, és ez pontosan az az intervallum, amelyben egyetlen sikeres teszt javításnak tűnhet. Az éjszaka eltűnő útvonal várt viselkedés, nem új hiba.

Két tartós válasz létezik. Az a szkript, amely minden csatlakozás után újrafuttatja a javítást, olyan kerülő megoldás, amely túlélheti a szerzőjét, míg az átjáró adminisztrátorától származó osztott alagútprofil az igazi javítás, mert akkor a kliens csak azokat a tartományokat telepíti, amelyekre a munkának szüksége van. Kérje a másodikat, és az elsőt csak várakozás közben használja. Nézze meg a vállalt szabályzatot is, mielőtt helyben feloszt egy teljes alagutat, mert a távoli hálózat számíthat arra, hogy látja az összes forgalmát.

Az ellenőrzőlista rövid: olvassa el a táblázatot, törölje az alagút alapértelmezett útvonalát, állítsa vissza a LAN alapértelmezett útvonalát, adja hozzá az összes előtagot, javítsa külön a feloldást, és számítson rá, hogy az útvonalak újracsatlakozáskor visszatérnek.