FortiClient fullur göng: beina aðeins skrifstofunetinu

Göngin koma upp, táknið verður grænt og staðarnetið hverfur: prentarar, NAS og beinir skrifstofunnar hætta öll að svara. FortiClient gerir það sem sniðið bað um. Gáttin ýtti sjálfgefinni leið, biðlarinn setti hana upp og hver pakki hefur nú leið inn í göngin. Viðgerðin er breyting á leiðatöflunni með DNS-breytingu á bak við hana, og röð þessara breytinga ræður því hvort vélin endar betur eða verr.

Hvað biðlarinn setti upp og hvers vegna staðarnetið hvarf

Byrjaðu á að lesa töfluna í stað viðmóts biðlarans. Á macOS prentar netstat -rn alla töfluna og route -n get default nefnir viðmótið og mæligildið sem vinna núna; á Linux er parið ip route show og ip route get 8.8.8.8. Bæði svara einni spurningu: hvaða færsla mun bera pakka sem passar við ekkert nánar tiltekið.

Nafn göngutækisins er ekki fast. IKEv2-snið á macOS sýnir venjulega utun með tölu, SSL VPN-biðlarinn sýnir ppp0 og OpenVPN sýnir tun0. Tvær sjálfgefnar leiðir geta líka verið til staðar á sama tíma með mismunandi mæligildum, og færsla biðlarans tekur kannski aðeins við eftir endurtengingu en ekki á þeirri stundu sem hún birtist. Þess vegna geta tvö töfluafrit sem tekin eru með fimm mínútna millibili sagt mismunandi sögur.

Hvers vegna sjálfgefna leið ganganna verður að fara fyrst

Kjarninn velur lengsta samsvarandi forskeytið og þegar nokkrar leiðir eru jafn nákvæmar velur hann þá sem er með lægsta mæligildið. Biðlari sem setur upp 0.0.0.0/0 með betra mæligildi vinnur þess vegna hvert áfangastað án þess að eyða upprunalegu sjálfgefnu leiðinni, og þess vegna er líkamlega leiðin enn í töflunni og útskýrir enn truflunina. Að fjarlægja sjálfgefnu leið ganganna fyrst endurheimtir fyrri hegðun. Aðeins þá gerir forskeytisleið um göngin það sem höfundur hennar ætlaði.

Að bæta forskeytum við fyrir þetta skref er mistakið sem gefur hálfvirka vél. Umferð fyrir nýja forskeytið fylgir göngunum og allt sem ekki er skráð fylgir líka sjálfgefnu leið ganganna, svo ekkert virðist bilað fyrr en einhver opnar þjónustu sem enginn bætti við. Eyða, endurheimta, bæta svo við, og millistigið verður áfram fyrirsjáanlegt.

Röðin á macOS og Linux

Á macOS eyðir röðin sjálfgefnu leið ganganna, endurheimtir líkamlegu sjálfgefnu leiðina og sendir eitt skrifstofuforskeyti aftur inn í göngin. Skiptu út sýnilegu viðmótsheitunum hér fyrir heitunum úr þinni eigin töflu.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Á Linux notar sama röð annað tól: LAN-gáttina fyrir sjálfgefnu leiðina og göngutækið fyrir skrifstofuforskeytið. Gamla route-skipunin tekur enn við gamalli setningafræði, en ip route er formið sem passar við núverandi skjöl.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Þegar leiðin þarf næsta stökk í stað tækis, taktu peer úr úttaki biðlarans. Að giska gefur eina af tveimur villum, og þær þýða mismunandi hluti: röng gátt gefur network unreachable samstundis, en rangt göngumark gefur tímann út. Lestu hvora þú fékkst áður en þú breytir skipuninni aftur.

Forskeyti, leysirinn og DMZ sem verður dimmt

Eitt forskeyti nær sjaldan yfir verkið. Forritamiðlarar, stjórnnet, DMZ og DNS-miðlararnir sjálfir geta hver verið á mismunandi bili, svo skráðu hvert bil sem þú getur nefnt áður en þú byrjar og prófaðu uppflettingu við hvert ping. Áfangastaður sem uppgötvast í miðri prófun er sá sem gleymist í breytingaskránni. Leið sem svarar eftir vistfangi en bregst eftir nafni er yfirleitt leysivandamál í beiningarbúningi.

Leysirinn er sérstök ákvörðun. Þegar sniðið hefur ýtt innri DNS-miðlurum getur það að taka sjálfgefnu leiðina í burtu skilið þessi vistföng eftir óaðgengileg fyrir opinber nöfn eða aðgengileg aðeins um göngin, og bæði ástandin gefa ruglingslegar hlutaniðurstöður. Beindu vistföngum leysisins um göngin eða stilltu upplausn eftir léni svo opinberar uppflettingar noti staðarleysinn.

Linux SSL-biðlarinn hefur sérstaka bilun sem er þess virði að þekkja: göngin tengjast, skrifstofunetið svarar og eitt DMZ-bil verður dimmt. Vantaði hlutinn er leið fyrir það bil um gátt ganganna, og gáttin er mismunandi milli véla, svo harðkóðað vistfang er leiðin sem næsta fartölva brotnar á. Leiddu hana út frá stöðu biðlarans og haltu skipuninni sjálfskjalfestandi:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Lestu bæði gildin áður en þú keyrir hana. peer er fjarlægi endi punkt-í-punkt ganga, og það er vistfangið sem DMZ-leiðin þarf; á beindum göngum er hið samsvarandi viðmótið eða gáttin sem biðlarinn tilkynnir. Ef hvorugt birtist er biðlarinn ekki í þeim ham sem þú gerðir ráð fyrir.

Eftir næstu tengingu og hvenær á að hætta að gera þetta staðbundið

FortiClient tengist aftur eftir svefn eða netbreytingu og setur aftur upp það sem sniðið segir til um. Handvirkar leiðir lifa þess vegna aðeins til næstu tengingar, og það er einmitt bilið þar sem ein vel heppnuð prófun getur litið út eins og viðgerð. Leið sem hverfur á nóttunni er vænt hegðun, ekki ný bilun.

Tvö varanleg svör eru til. Skriftan sem keyrir leiðréttinguna aftur eftir hverja tengingu er vinnuslys sem getur lifað lengur en höfundur hennar, en snið með skiptum göngum frá stjórnanda gáttarinnar er hin raunverulega viðgerð, því þá setur biðlarinn aðeins upp bilin sem verkið þarf. Biddu um það seinni og notaðu það fyrra aðeins meðan þú bíður. Athugaðu líka stefnuna sem þú samþykktir áður en þú skiptir fullum göngum staðbundið, því fjarnetið kann að treysta á að sjá alla umferðina þína.

Gátlistinn er stuttur: lestu töfluna, eyddu sjálfgefnu leið ganganna, endurheimtu sjálfgefnu LAN-leiðina, bættu við hverju forskeyti, lagaðu upplausnina sérstaklega og búðu þig við að leiðirnar komi aftur við endurtengingu.