FortiClient ամբողջական թունել. երթուղավորել միայն գրասենյակի ենթացանցը

Թունելը բարձրանում է, պատկերակը կանաչում է, և տեղական ցանցն անհետանում է. տպիչները, NAS-ը և գրասենյակի երթուղիչը բոլորը դադարում են պատասխանել։ FortiClient-ը անում է այն, ինչ պահանջել է պրոֆիլը։ Դարպասը ուղարկել է լռելյայն երթուղի, հաճախորդը տեղադրել է այն, և յուրաքանչյուր փաթեթ այժմ ունի ճանապարհ դեպի թունել։ Վերանորոգումը երթուղային աղյուսակի փոփոխություն է՝ իր հետևում DNS-ի փոփոխությամբ, և այդ փոփոխությունների հերթականությունն է որոշում՝ մեքենան ավելի լավ, թե ավելի վատ կավարտի։

Ինչ տեղադրեց հաճախորդը, և ինչու անհետացավ LAN-ը

Սկսեք աղյուսակը կարդալուց, ոչ թե հաճախորդի ինտերֆեյսից։ macOS-ում netstat -rn-ը տպում է ամբողջ աղյուսակը, իսկ route -n get default-ը նշում է այն ինտերֆեյսն ու չափիչը, որոնք հիմա հաղթում են. Linux-ում զույգը ip route show-ն և ip route get 8.8.8.8-ն են։ Երկուսն էլ պատասխանում են մեկ հարցի. ո՞ր գրառումը կտանի փաթեթը, որը չի համապատասխանում ոչ մի ավելի կոնկրետ բանի։

Թունելի սարքի անունը ֆիքսված չէ։ macOS-ում IKEv2 պրոֆիլը սովորաբար ցույց է տալիս utun՝ թվով, SSL VPN հաճախորդը՝ ppp0, իսկ OpenVPN-ը՝ tun0։ Երկու լռելյայն երթուղիներ կարող են նաև միաժամանակ լինել տարբեր չափիչներով, և հաճախորդի գրառումը կարող է ստանձնել միայն վերամիացումից հետո, ոչ թե հայտնվելու պահին։ Այդ պատճառով հինգ րոպե տարբերությամբ վերցված աղյուսակի երկու արտածում կարող են տարբեր պատմություններ պատմել։

Ինչու թունելի լռելյայն երթուղին պետք է առաջինը հեռանա

Միջուկը ընտրում է ամենաերկար համապատասխան նախածանցը, և երբ մի քանի երթուղիներ հավասարապես կոնկրետ են, ընտրում է ամենացածր չափիչովը։ Այդ պատճառով 0.0.0.0/0-ը ավելի լավ չափիչով տեղադրող հաճախորդը շահում է յուրաքանչյուր նպատակակետ՝ չջնջելով սկզբնական լռելյայն երթուղին, և դրա համար ֆիզիկական երթուղին դեռ աղյուսակում է և դեռ բացատրում է ընդհատումը։ Թունելի լռելյայն երթուղին առաջինը հեռացնելը վերականգնում է նախկին վարքը։ Միայն դրանից հետո թունելով անցնող նախածանցային երթուղին անում է այն, ինչ մտադրվել էր հեղինակը։

Նախածանցերը այդ քայլից առաջ ավելացնելը այն սխալն է, որը տալիս է կիսով չափ աշխատող մեքենա։ Նոր նախածանցի երթևեկությունը հետևում է թունելին, և ամեն չնշված բան նույնպես հետևում է թունելի լռելյայն երթուղուն, այնպես որ ոչինչ կոտրված չի թվում, քանի դեռ ինչ-որ մեկը չի բացում մի ծառայություն, որը ոչ ոք չի ավելացրել։ Ջնջեք, վերականգնեք, հետո ավելացրեք, և միջանկյալ վիճակը մնում է կանխատեսելի։

Հերթականությունը macOS-ում և Linux-ում

macOS-ում հերթականությունը ջնջում է թունելի լռելյայն երթուղին, վերականգնում ֆիզիկական լռելյայն երթուղին և մեկ գրասենյակի նախածանց հետ ուղարկում թունել։ Այստեղի օրինակելի ինտերֆեյսների անունները փոխարինեք ձեր սեփական աղյուսակից վերցվածներով։

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Linux-ում նույն հերթականությունն օգտագործում է այլ գործիք՝ LAN-ի դարպասը լռելյայն երթուղու համար և թունելի սարքը գրասենյակի նախածանցի համար։ Հին route հրամանը դեռ ընդունում է հին շարահյուսությունը, բայց ip route-ը այն ձևն է, որը համապատասխանում է ընթացիկ փաստաթղթերին։

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Երբ երթուղին սարքի փոխարեն հաջորդ ցատկ է պահանջում, վերցրեք peer-ը հաճախորդի արտածումից։ Գուշակելը տալիս է երկու սխալներից մեկը, և դրանք տարբեր բան են նշանակում. սխալ դարպասը անմիջապես տալիս է network unreachable, մինչդեռ սխալ թունելային նպատակը՝ ժամանակի սպառում։ Կարդացեք, թե որն եք ստացել, նախքան հրամանը կրկին փոխելը։

Նախածանցերը, լուծիչը և մութ մնացող DMZ-ը

Մեկ նախածանցը հազվադեպ է ծածկում ամբողջ աշխատանքը։ Հավելվածների սերվերները, կառավարման ցանցերը, DMZ-ը և հենց DNS սերվերները կարող են յուրաքանչյուրը լինել այլ տիրույթում, այնպես որ սկսելուց առաջ թվարկեք ձեր կարողացած բոլոր տիրույթները և յուրաքանչյուր ping-ի կողքին փորձեք մեկ հարցում։ Փորձարկման մեջտեղում հայտնաբերված նպատակակետն այն է, որը մոռացվում է փոփոխությունների գրառման մեջ։ Այն երթուղին, որը պատասխանում է հասցեով, բայց ձախողվում է անունով, սովորաբար երթուղավորման զգեստ հագած լուծիչի խնդիր է։

Լուծիչը առանձին որոշում է։ Երբ պրոֆիլը ուղարկել է ներքին DNS սերվերներ, լռելյայն երթուղին վերցնելը կարող է այդ հասցեները թողնել անհասանելի հանրային անունների համար կամ հասանելի միայն թունելով, և երկու վիճակներն էլ տալիս են շփոթեցնող մասնակի արդյունքներ։ Երթուղավորեք լուծիչի հասցեները թունելով կամ կարգավորեք տիրույթով լուծում, որպեսզի հանրային հարցումները օգտագործեն տեղական լուծիչը։

Linux-ի SSL հաճախորդն ունի դաշտային ձախողում, որն արժե իմանալ. թունելը միանում է, գրասենյակի LAN-ը պատասխանում է, և մեկ DMZ տիրույթ մնում է մութ։ Բացակայող մասը այդ տիրույթի համար թունելի դարպասով երթուղին է, և դարպասը տարբերվում է մեքենաներից մեքենա, ուստի կոշտ կոդավորված հասցեն այն ձևն է, որով կոտրվում է հաջորդ նոթբուքը։ Ստացեք այն հաճախորդի վիճակից և պահեք հրամանը ինքնափաստաթղթավորվող.

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Կարդացեք երկու արժեքները նախքան այն գործարկելը։ peer-ը կետ-կետ թունելի հեռավոր ծայրն է, և դա այն հասցեն է, որը DMZ երթուղուն պետք է. երթուղավորված թունելում համարժեքը հաճախորդի հաղորդած ինտերֆեյսն է կամ դարպասը։ Եթե ոչ մեկը չի հայտնվում, հաճախորդը այն ռեժիմում չէ, որը դուք ենթադրել եք։

Հաջորդ միացումից հետո, և երբ դադարեցնել դա տեղում

FortiClient-ը վերամիանում է քնից կամ ցանցի փոփոխությունից հետո և նորից տեղադրում է այն, ինչ սահմանում է պրոֆիլը։ Այդ պատճառով ձեռքով երթուղիները գոյատևում են միայն մինչև հաջորդ միացումը, և դա հենց այն միջակայքն է, երբ մեկ հաջող փորձարկում կարող է վերանորոգում թվալ։ Գիշերվա ընթացքում անհետացող երթուղին սպասելի վարք է, ոչ նոր խափանում։

Գոյություն ունեն երկու կայուն պատասխան։ Այն սկրիպտը, որը նորից գործարկում է ուղղումը յուրաքանչյուր միացումից հետո, շրջանցում է, որը կարող է ապրել իր հեղինակից ավելի երկար, մինչդեռ դարպասի ադմինիստրատորի բաժանված թունելի պրոֆիլը իրական ուղղումն է, քանի որ այդ դեպքում հաճախորդը տեղադրում է միայն այն տիրույթները, որոնք աշխատանքին պետք են։ Խնդրեք երկրորդը և առաջինը օգտագործեք միայն սպասելիս։ Ստուգեք նաև այն քաղաքականությունը, որին համաձայնել եք, նախքան ամբողջական թունելը տեղում բաժանելը, քանի որ հեռավոր ցանցը կարող է հենվել ձեր ամբողջ երթևեկությունը տեսնելու վրա։

Ստուգաթերթը կարճ է. կարդացեք աղյուսակը, ջնջեք թունելի լռելյայն երթուղին, վերականգնեք LAN-ի լռելյայն երթուղին, ավելացրեք յուրաքանչյուր նախածանց, ուղղեք լուծումը առանձին և սպասեք, որ երթուղիները վերադառնան վերամիացման ժամանակ։