FortiClient სრული გვირაბი: მარშრუტიზაცია მხოლოდ ოფისის ქვექსელზე

გვირაბი ადის, ხატულა მწვანდება და ლოკალური ქსელი ქრება: პრინტერები, NAS და ოფისის როუტერი ყველა წყვეტს პასუხს. FortiClient აკეთებს იმას, რაც პროფილმა მოითხოვა. კარიბჭემ გაგზავნა ნაგულისხმევი მარშრუტი, კლიენტმა დააინსტალირა ის და ახლა ყველა პაკეტს აქვს გზა გვირაბში. შეკეთება არის მარშრუტების ცხრილის რედაქტირება და მის უკან DNS-ის რედაქტირება, და ამ რედაქტირებების თანმიმდევრობა წყვეტს, მანქანა უკეთესად დაასრულებს თუ უარესად.

რა დააინსტალირა კლიენტმა და რატომ გაქრა LAN

დაიწყეთ ცხრილის კითხვით და არა კლიენტის ინტერფეისით. macOS-ზე netstat -rn ბეჭდავს მთელ ცხრილს, ხოლო route -n get default ასახელებს ინტერფეისს და მეტრიკას, რომლებიც ახლა იმარჯვებენ; Linux-ზე წყვილია ip route show და ip route get 8.8.8.8. ორივე პასუხობს ერთ კითხვას: რომელი ჩანაწერი გადაიტანს პაკეტს, რომელიც არაფერ უფრო კონკრეტულს არ ემთხვევა.

გვირაბის მოწყობილობის სახელი ფიქსირებული არ არის. macOS-ზე IKEv2 პროფილი ჩვეულებრივ აჩვენებს utun რიცხვით, SSL VPN კლიენტი აჩვენებს ppp0, ხოლო OpenVPN აჩვენებს tun0. ორი ნაგულისხმევი მარშრუტი შეიძლება ერთდროულად იყოს სხვადასხვა მეტრიკით, და კლიენტის ჩანაწერმა შეიძლება ხელში ჩაიგდოს მხოლოდ ხელახალი დაკავშირების შემდეგ და არა გამოჩენის მომენტში. ამიტომ ხუთი წუთის ინტერვალით აღებულმა ცხრილის ორმა ამონაბეჭდმა შეიძლება განსხვავებული ამბები მოყვეს.

რატომ უნდა წავიდეს გვირაბის ნაგულისხმევი მარშრუტი პირველი

ბირთვი ირჩევს ყველაზე გრძელ შესაბამის პრეფიქსს, და როცა რამდენიმე მარშრუტი თანაბრად კონკრეტულია, ირჩევს ყველაზე დაბალი მეტრიკისას. ამიტომ 0.0.0.0/0-ის უკეთესი მეტრიკით დაინსტალირებული კლიენტი იგებს ყველა დანიშნულებას ორიგინალური ნაგულისხმევი მარშრუტის წაშლის გარეშე, და ამიტომ ფიზიკური მარშრუტი ჯერ კიდევ ცხრილშია და ჯერ კიდევ ხსნის გაწყვეტას. გვირაბის ნაგულისხმევი მარშრუტის პირველად მოცილება აღადგენს წინა ქცევას. მხოლოდ ამის შემდეგ აკეთებს გვირაბში გამავალი პრეფიქსული მარშრუტი იმას, რაც ავტორს ჰქონდა განზრახული.

პრეფიქსების დამატება ამ ნაბიჯამდე არის შეცდომა, რომელიც ნახევრად მომუშავე მანქანას იძლევა. ახალი პრეფიქსის ტრაფიკი მიჰყვება გვირაბს, და ყველაფერი, რაც სიაში არ არის, ასევე მიჰყვება გვირაბის ნაგულისხმევ მარშრუტს, ამიტომ არაფერი არ გამოიყურება გატეხილი, სანამ ვინმე არ გახსნის სერვისს, რომელიც არავის დაუმატებია. წაშალეთ, აღადგინეთ, შემდეგ დაამატეთ, და შუალედური მდგომარეობა პროგნოზირებადი რჩება.

თანმიმდევრობა macOS-სა და Linux-ზე

macOS-ზე თანმიმდევრობა შლის გვირაბის ნაგულისხმევ მარშრუტს, აღადგენს ფიზიკურ ნაგულისხმევ მარშრუტს და ერთ ოფისის პრეფიქსს უკან გვირაბში აგზავნის. აქ მოცემული საილუსტრაციო ინტერფეისების სახელები შეცვალეთ საკუთარი ცხრილიდან აღებულით.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Linux-ზე იგივე რიგი სხვა ხელსაწყოს იყენებს: LAN-ის კარიბჭეს ნაგულისხმევი მარშრუტისთვის და გვირაბის მოწყობილობას ოფისის პრეფიქსისთვის. ძველი route ბრძანება ჯერ კიდევ იღებს ძველ სინტაქსს, მაგრამ ip route არის ფორმა, რომელიც შეესაბამება მიმდინარე დოკუმენტაციას.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

როცა მარშრუტს მოწყობილობის ნაცვლად შემდეგი ნახტომი სჭირდება, აიღეთ peer კლიენტის გამოსავლიდან. გამოცნობა ორი შეცდომიდან ერთს იძლევა და ისინი სხვადასხვას ნიშნავს: არასწორი კარიბჭე მაშინვე იძლევა network unreachable-ს, ხოლო არასწორი გვირაბის სამიზნე დროის ამოწურვას. წაიკითხეთ, რომელი მიიღეთ, სანამ ბრძანებას კვლავ შეცვლით.

პრეფიქსები, ამომხსნელი და DMZ, რომელიც ბნელი რჩება

ერთი პრეფიქსი იშვიათად ფარავს მთელ სამუშაოს. აპლიკაციების სერვერები, მართვის ქსელები, DMZ და თავად DNS სერვერები შეიძლება თითოეული სხვა დიაპაზონში იყოს, ამიტომ დაწყებამდე ჩამოთვალეთ ყველა დიაპაზონი, რომელსაც დაასახელებთ, და ყოველი ping-ის გვერდით ერთი მოთხოვნა შეამოწმეთ. ტესტის შუაში აღმოჩენილი დანიშნულება არის ის, რომელიც ცვლილებების ჩანაწერში დავიწყებას ეძლევა. მარშრუტი, რომელიც მისამართით პასუხობს, მაგრამ სახელით ვარდება, ჩვეულებრივ მარშრუტიზაციის კოსტიუმში ჩაცმული ამომხსნელის პრობლემაა.

ამომხსნელი ცალკე გადაწყვეტილებაა. როცა პროფილმა შიდა DNS სერვერები გამოგზავნა, ნაგულისხმევი მარშრუტის წართმევამ შეიძლება ეს მისამართები საჯარო სახელებისთვის მიუწვდომელი დატოვოს ან მხოლოდ გვირაბით მისაწვდომი გახადოს, და ორივე მდგომარეობა დამაბნეველ ნაწილობრივ შედეგებს იძლევა. გაატარეთ ამომხსნელის მისამართები გვირაბში, ან დააყენეთ დომენის მიხედვით გადაწყვეტა, რომ საჯარო მოთხოვნებმა ლოკალური ამომხსნელი გამოიყენონ.

Linux-ის SSL კლიენტს აქვს ველის სპეციფიკური ჩავარდნა, რომლის ცოდნაც ღირს: გვირაბი უკავშირდება, ოფისის LAN პასუხობს, და ერთი DMZ დიაპაზონი ბნელი რჩება. დაკარგული ნაწილია მარშრუტი ამ დიაპაზონისთვის გვირაბის კარიბჭის გავლით, და კარიბჭე მანქანიდან მანქანამდე იცვლება, ამიტომ ხისტად ჩაწერილი მისამართი არის ის გზა, რომლითაც შემდეგი ლეპტოპი ტყდება. გამოიყვანეთ ის კლიენტის მდგომარეობიდან და შეინახეთ ბრძანება თვითდოკუმენტირებული:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

სანამ გაუშვებთ, წაიკითხეთ ორი მნიშვნელობა. peer არის წერტილიდან-წერტილამდე გვირაბის შორეული ბოლო, და სწორედ ეს მისამართი სჭირდება DMZ-ის მარშრუტს; მარშრუტიზებულ გვირაბში ეკვივალენტია ინტერფეისი ან კარიბჭე, რომელსაც კლიენტი იუწყება. თუ არც ერთი არ ჩანს, კლიენტი იმ რეჟიმში არ არის, რომელიც ივარაუდეთ.

შემდეგი დაკავშირების შემდეგ, და როდის შეწყვიტოთ ამის ლოკალურად კეთება

FortiClient ხელახლა უკავშირდება ძილის ან ქსელის ცვლილების შემდეგ და ხელახლა აყენებს იმას, რასაც პროფილი განსაზღვრავს. ამიტომ ხელით შექმნილი მარშრუტები მხოლოდ შემდეგ დაკავშირებამდე ცოცხლობს, და ეს ზუსტად ის ინტერვალია, როცა ერთი წარმატებული ტესტი შეკეთებად შეიძლება მოგვეჩვენოს. ღამით გაქრობილი მარშრუტი მოსალოდნელი ქცევაა და არა ახალი ხარვეზი.

არსებობს ორი გამძლე პასუხი. სკრიპტი, რომელიც შესწორებას ყოველი დაკავშირების შემდეგ ხელახლა უშვებს, არის შემოვლითი გზა, რომელმაც შეიძლება ავტორზე მეტხანს იცოცხლოს, ხოლო კარიბჭის ადმინისტრატორისგან მიღებული გაყოფილი გვირაბის პროფილი ნამდვილი შესწორებაა, რადგან მაშინ კლიენტი მხოლოდ იმ დიაპაზონებს აყენებს, რომლებიც სამუშაოს სჭირდება. მოითხოვეთ მეორე და პირველი მხოლოდ ლოდინის დროს გამოიყენეთ. შეამოწმეთ ასევე პოლიტიკა, რომელზეც დათანხმდით, სანამ სრულ გვირაბს ლოკალურად გაყოფთ, რადგან დისტანციურ ქსელს შეიძლება ეყრდნობოდეს თქვენი მთელი ტრაფიკის დანახვას.

ჩამონათვალი მოკლეა: წაიკითხეთ ცხრილი, წაშალეთ გვირაბის ნაგულისხმევი მარშრუტი, აღადგინეთ LAN-ის ნაგულისხმევი მარშრუტი, დაამატეთ ყოველი პრეფიქსი, ცალკე გაასწორეთ გადაწყვეტა და დაელოდეთ, რომ მარშრუტები ხელახალი დაკავშირებისას დაბრუნდება.