FortiClient ಪೂರ್ಣ ಸುರಂಗ: ಕಚೇರಿ ಉಪಜಾಲವನ್ನು ಮಾತ್ರ ರೂಟ್ ಮಾಡಿ

ಸುರಂಗ ಏರುತ್ತದೆ, ಐಕಾನ್ ಹಸಿರಾಗುತ್ತದೆ ಮತ್ತು ಸ್ಥಳೀಯ ಜಾಲ ಮಾಯವಾಗುತ್ತದೆ: ಮುದ್ರಕಗಳು, NAS ಮತ್ತು ಕಚೇರಿ ರೂಟರ್ ಎಲ್ಲವೂ ಪ್ರತಿಕ್ರಿಯಿಸುವುದನ್ನು ನಿಲ್ಲಿಸುತ್ತವೆ. FortiClient ಪ್ರೊಫೈಲ್ ಕೇಳಿದ್ದನ್ನು ಮಾಡುತ್ತಿದೆ. ಗೇಟ್‌ವೇ ಡೀಫಾಲ್ಟ್ ರೂಟ್ ಅನ್ನು ತಳ್ಳಿತು, ಕ್ಲೈಂಟ್ ಅನ್ನು ಸ್ಥಾಪಿಸಿತು, ಮತ್ತು ಈಗ ಪ್ರತಿ ಪ್ಯಾಕೆಟ್‌ಗೂ ಸುರಂಗದೊಳಗೆ ಹೋಗುವ ದಾರಿ ಇದೆ. ಸರಿಪಡಿಸುವಿಕೆ ಎಂದರೆ ರೂಟ್ ಕೋಷ್ಟಕದ ಸಂಪಾದನೆ ಮತ್ತು ಅದರ ಹಿಂದೆ DNS ಸಂಪಾದನೆ, ಮತ್ತು ಆ ಸಂಪಾದನೆಗಳ ಕ್ರಮವೇ ಯಂತ್ರವು ಉತ್ತಮವಾಗಿ ಅಥವಾ ಕೆಟ್ಟದಾಗಿ ಕೊನೆಗೊಳ್ಳುತ್ತದೆಯೇ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ.

ಕ್ಲೈಂಟ್ ಏನನ್ನು ಸ್ಥಾಪಿಸಿತು, ಮತ್ತು LAN ಏಕೆ ಮಾಯವಾಯಿತು

ಕ್ಲೈಂಟ್ ಇಂಟರ್‌ಫೇಸ್ ಬದಲು ಕೋಷ್ಟಕವನ್ನು ಓದುವುದರಿಂದ ಪ್ರಾರಂಭಿಸಿ. macOS ನಲ್ಲಿ netstat -rn ಇಡೀ ಕೋಷ್ಟಕವನ್ನು ಮುದ್ರಿಸುತ್ತದೆ ಮತ್ತು route -n get default ಪ್ರಸ್ತುತ ಗೆಲ್ಲುತ್ತಿರುವ ಇಂಟರ್‌ಫೇಸ್ ಮತ್ತು ಮೆಟ್ರಿಕ್ ಅನ್ನು ಹೆಸರಿಸುತ್ತದೆ; Linux ನಲ್ಲಿ ಜೋಡಿ ip route show ಮತ್ತು ip route get 8.8.8.8. ಎರಡೂ ಒಂದು ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತವೆ: ಹೆಚ್ಚು ನಿರ್ದಿಷ್ಟವಾದ ಯಾವುದಕ್ಕೂ ಹೊಂದಿಕೆಯಾಗದ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಯಾವ ನಮೂದು ಒಯ್ಯುತ್ತದೆ.

ಸುರಂಗ ಸಾಧನದ ಹೆಸರು ಸ್ಥಿರವಲ್ಲ. macOS ನಲ್ಲಿ IKEv2 ಪ್ರೊಫೈಲ್ ಸಾಮಾನ್ಯವಾಗಿ ಸಂಖ್ಯೆಯೊಂದಿಗೆ utun ತೋರಿಸುತ್ತದೆ, SSL VPN ಕ್ಲೈಂಟ್ ppp0 ತೋರಿಸುತ್ತದೆ, ಮತ್ತು OpenVPN tun0 ತೋರಿಸುತ್ತದೆ. ಬೇರೆ ಬೇರೆ ಮೆಟ್ರಿಕ್‌ಗಳೊಂದಿಗೆ ಎರಡು ಡೀಫಾಲ್ಟ್‌ಗಳು ಒಂದೇ ಸಮಯದಲ್ಲಿ ಇರಬಹುದು, ಮತ್ತು ಕ್ಲೈಂಟ್ ನಮೂದು ಕಾಣಿಸಿಕೊಂಡ ಕ್ಷಣದಲ್ಲಿ ಅಲ್ಲ, ಮರುಸಂಪರ್ಕದ ನಂತರವೇ ನಿಯಂತ್ರಣ ತೆಗೆದುಕೊಳ್ಳಬಹುದು. ಅದಕ್ಕೇ ಐದು ನಿಮಿಷಗಳ ಅಂತರದಲ್ಲಿ ತೆಗೆದ ಎರಡು ಕೋಷ್ಟಕ ಡಂಪ್‌ಗಳು ಬೇರೆ ಬೇರೆ ಕಥೆಗಳನ್ನು ಹೇಳಬಹುದು.

ಸುರಂಗದ ಡೀಫಾಲ್ಟ್ ರೂಟ್ ಮೊದಲು ಹೋಗಬೇಕಾದದ್ದು ಏಕೆ

ಕರ್ಣೆಲ್ ಅತ್ಯಂತ ಉದ್ದದ ಹೊಂದುವ ಪ್ರಿಫಿಕ್ಸ್ ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಹಲವು ರೂಟ್‌ಗಳು ಸಮಾನವಾಗಿ ನಿರ್ದಿಷ್ಟವಾಗಿದ್ದಾಗ ಕಡಿಮೆ ಮೆಟ್ರಿಕ್ ಇರುವದನ್ನು ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ. ಆದ್ದರಿಂದ 0.0.0.0/0 ಉತ್ತಮ ಮೆಟ್ರಿಕ್‌ನೊಂದಿಗೆ ಸ್ಥಾಪಿಸುವ ಕ್ಲೈಂಟ್ ಮೂಲ ಡೀಫಾಲ್ಟ್ ಅನ್ನು ಅಳಿಸದೆ ಪ್ರತಿ ಗಮ್ಯಸ್ಥಾನವನ್ನೂ ಗೆಲ್ಲುತ್ತದೆ, ಮತ್ತು ಅದಕ್ಕೇ ಭೌತಿಕ ರೂಟ್ ಇನ್ನೂ ಕೋಷ್ಟಕದಲ್ಲಿದೆ ಮತ್ತು ಇನ್ನೂ ಅಡಚಣೆಯನ್ನು ವಿವರಿಸುತ್ತದೆ. ಸುರಂಗದ ಡೀಫಾಲ್ಟ್ ರೂಟ್ ಅನ್ನು ಮೊದಲು ತೆಗೆದರೆ ಹಿಂದಿನ ವರ್ತನೆ ಮರಳುತ್ತದೆ. ಆಗ ಮಾತ್ರ ಸುರಂಗದ ಮೂಲಕ ಹೋಗುವ ಪ್ರಿಫಿಕ್ಸ್ ರೂಟ್ ಅದರ ಲೇಖಕ ಉದ್ದೇಶಿಸಿದ್ದನ್ನು ಮಾಡುತ್ತದೆ.

ಆ ಹೆಜ್ಜೆಗೆ ಮೊದಲು ಪ್ರಿಫಿಕ್ಸ್‌ಗಳನ್ನು ಸೇರಿಸುವುದು ಅರ್ಧ ಕೆಲಸ ಮಾಡುವ ಯಂತ್ರವನ್ನು ಉಂಟುಮಾಡುವ ತಪ್ಪು. ಹೊಸ ಪ್ರಿಫಿಕ್ಸ್‌ನ ಸಂಚಾರ ಸುರಂಗವನ್ನು ಅನುಸರಿಸುತ್ತದೆ, ಮತ್ತು ಪಟ್ಟಿಯಲ್ಲಿಲ್ಲದ ಎಲ್ಲವೂ ಸುರಂಗದ ಡೀಫಾಲ್ಟ್ ಅನ್ನು ಅನುಸರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಯಾರೂ ಸೇರಿಸದ ಸೇವೆಯನ್ನು ಯಾರಾದರೂ ತೆರೆಯುವವರೆಗೆ ಏನೂ ಮುರಿದಂತೆ ಕಾಣುವುದಿಲ್ಲ. ಅಳಿಸಿ, ಮರುಸ್ಥಾಪಿಸಿ, ನಂತರ ಸೇರಿಸಿ, ಮತ್ತು ಮಧ್ಯಂತರ ಸ್ಥಿತಿ ಊಹಿಸಬಹುದಾದಂತೆ ಉಳಿಯುತ್ತದೆ.

macOS ಮತ್ತು Linux ನಲ್ಲಿ ಕ್ರಮ

macOS ನಲ್ಲಿ ಈ ಕ್ರಮ ಸುರಂಗದ ಡೀಫಾಲ್ಟ್ ರೂಟ್ ಅನ್ನು ಅಳಿಸುತ್ತದೆ, ಭೌತಿಕ ಡೀಫಾಲ್ಟ್ ಅನ್ನು ಮರುಸ್ಥಾಪಿಸುತ್ತದೆ ಮತ್ತು ಒಂದು ಕಚೇರಿ ಪ್ರಿಫಿಕ್ಸ್ ಅನ್ನು ಸುರಂಗಕ್ಕೆ ಹಿಂತಿರುಗಿಸುತ್ತದೆ. ಇಲ್ಲಿನ ಉದಾಹರಣೆ ಇಂಟರ್‌ಫೇಸ್ ಹೆಸರುಗಳನ್ನು ನಿಮ್ಮ ಸ್ವಂತ ಕೋಷ್ಟಕದ ಹೆಸರುಗಳಿಂದ ಬದಲಾಯಿಸಿ.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Linux ನಲ್ಲಿ ಅದೇ ಕ್ರಮ ಬೇರೆ ಸಾಧನವನ್ನು ಬಳಸುತ್ತದೆ: ಡೀಫಾಲ್ಟ್‌ಗೆ LAN ಗೇಟ್‌ವೇ ಮತ್ತು ಕಚೇರಿ ಪ್ರಿಫಿಕ್ಸ್‌ಗೆ ಸುರಂಗ ಸಾಧನ. ಹಳೆಯ route ಆಜ್ಞೆ ಇನ್ನೂ ಹಳೆಯ ವಾಕ್ಯರಚನೆಯನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ, ಆದರೆ ip route ಪ್ರಸ್ತುತ ದಾಖಲೆಗಳಿಗೆ ಹೊಂದುವ ರೂಪ.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

ರೂಟ್‌ಗೆ ಸಾಧನದ ಬದಲು ಮುಂದಿನ ಹಾಪ್ ಬೇಕಾದಾಗ, ಕ್ಲೈಂಟ್ ಔಟ್‌ಪುಟ್‌ನಿಂದ peer ತೆಗೆದುಕೊಳ್ಳಿ. ಊಹಿಸುವುದು ಎರಡು ದೋಷಗಳಲ್ಲಿ ಒಂದನ್ನು ನೀಡುತ್ತದೆ, ಮತ್ತು ಅವು ಬೇರೆ ಅರ್ಥಗಳನ್ನು ಹೊಂದಿವೆ: ತಪ್ಪು ಗೇಟ್‌ವೇ ತಕ್ಷಣ network unreachable ನೀಡುತ್ತದೆ, ತಪ್ಪು ಸುರಂಗ ಗುರಿ ಸಮಯ ಮುಗಿಯುವಿಕೆ ನೀಡುತ್ತದೆ. ಆಜ್ಞೆಯನ್ನು ಮತ್ತೆ ಬದಲಿಸುವ ಮೊದಲು ಯಾವುದು ಸಿಕ್ಕಿತು ಎಂದು ಓದಿ.

ಪ್ರಿಫಿಕ್ಸ್‌ಗಳು, ರಿಸಾಲ್ವರ್ ಮತ್ತು ಕತ್ತಲೆಯಲ್ಲಿ ಉಳಿಯುವ DMZ

ಒಂದು ಪ್ರಿಫಿಕ್ಸ್ ಕೆಲಸವನ್ನು ವಿರಳವಾಗಿ ಆವರಿಸುತ್ತದೆ. ಅಪ್ಲಿಕೇಶನ್ ಸರ್ವರ್‌ಗಳು, ನಿರ್ವಹಣಾ ಜಾಲಗಳು, DMZ ಮತ್ತು DNS ಸರ್ವರ್‌ಗಳು ಸ್ವತಃ ಬೇರೆ ಬೇರೆ ಶ್ರೇಣಿಗಳಲ್ಲಿ ಇರಬಹುದು, ಆದ್ದರಿಂದ ಪ್ರಾರಂಭಿಸುವ ಮೊದಲು ನೀವು ಹೆಸರಿಸಬಹುದಾದ ಪ್ರತಿ ಶ್ರೇಣಿಯನ್ನು ಪಟ್ಟಿ ಮಾಡಿ ಮತ್ತು ಪ್ರತಿ ping ಪಕ್ಕದಲ್ಲಿ ಒಂದು lookup ಪರೀಕ್ಷಿಸಿ. ಪರೀಕ್ಷೆಯ ಮಧ್ಯದಲ್ಲಿ ಕಂಡುಬರುವ ಗಮ್ಯಸ್ಥಾನವೇ ಬದಲಾವಣೆ ದಾಖಲೆಯಲ್ಲಿ ಮರೆತುಹೋಗುವದು. ವಿಳಾಸದಿಂದ ಉತ್ತರಿಸಿ ಹೆಸರಿನಿಂದ ವಿಫಲವಾಗುವ ರೂಟ್ ಸಾಮಾನ್ಯವಾಗಿ ರೂಟಿಂಗ್ ವೇಷದಲ್ಲಿರುವ ರಿಸಾಲ್ವರ್ ಸಮಸ್ಯೆ.

ರಿಸಾಲ್ವರ್ ಪ್ರತ್ಯೇಕ ನಿರ್ಧಾರ. ಪ್ರೊಫೈಲ್ ಆಂತರಿಕ DNS ಸರ್ವರ್‌ಗಳನ್ನು ತಳ್ಳಿದಾಗ, ಡೀಫಾಲ್ಟ್ ತೆಗೆದರೆ ಆ ವಿಳಾಸಗಳು ಸಾರ್ವಜನಿಕ ಹೆಸರುಗಳಿಗೆ ತಲುಪಲಾಗದಂತೆ ಅಥವಾ ಸುರಂಗದ ಮೂಲಕ ಮಾತ್ರ ತಲುಪುವಂತೆ ಉಳಿಯಬಹುದು, ಮತ್ತು ಎರಡೂ ಸ್ಥಿತಿಗಳು ಗೊಂದಲದ ಭಾಗಶಃ ಫಲಿತಾಂಶ ನೀಡುತ್ತವೆ. ರಿಸಾಲ್ವರ್ ವಿಳಾಸಗಳನ್ನು ಸುರಂಗದ ಮೂಲಕ ರೂಟ್ ಮಾಡಿ, ಅಥವಾ ಪ್ರತಿ ಡೊಮೇನ್‌ಗೆ ಪರಿಹಾರವನ್ನು ಸಂರಚಿಸಿ ಸಾರ್ವಜನಿಕ lookup ಸ್ಥಳೀಯ ರಿಸಾಲ್ವರ್ ಬಳಸುವಂತೆ ಮಾಡಿ.

Linux SSL ಕ್ಲೈಂಟ್‌ಗೆ ತಿಳಿಯಲು ಯೋಗ್ಯವಾದ ಕ್ಷೇತ್ರ-ನಿರ್ದಿಷ್ಟ ವೈಫಲ್ಯವಿದೆ: ಸುರಂಗ ಸಂಪರ್ಕಿಸುತ್ತದೆ, ಕಚೇರಿ LAN ಪ್ರತಿಕ್ರಿಯಿಸುತ್ತದೆ, ಮತ್ತು ಒಂದು DMZ ಶ್ರೇಣಿ ಕತ್ತಲೆಯಲ್ಲಿ ಉಳಿಯುತ್ತದೆ. ಕಾಣೆಯಾದ ಭಾಗ ಸುರಂಗ ಗೇಟ್‌ವೇ ಮೂಲಕ ಆ ಶ್ರೇಣಿಗೆ ರೂಟ್, ಮತ್ತು ಗೇಟ್‌ವೇ ಯಂತ್ರದಿಂದ ಯಂತ್ರಕ್ಕೆ ಬದಲಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಹಾರ್ಡ್‌ಕೋಡ್ ಮಾಡಿದ ವಿಳಾಸವೇ ಮುಂದಿನ ಲ್ಯಾಪ್‌ಟಾಪ್ ಮುರಿಯುವ ರೀತಿ. ಅದನ್ನು ಕ್ಲೈಂಟ್ ಸ್ಥಿತಿಯಿಂದ ಪಡೆದು ಆಜ್ಞೆಯನ್ನು ಸ್ವಯಂ-ದಾಖಲಿತವಾಗಿ ಇರಿಸಿ:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

ಚಲಾಯಿಸುವ ಮೊದಲು ಎರಡು ಮೌಲ್ಯಗಳನ್ನು ಓದಿ. peer ಪಾಯಿಂಟ್-ಟು-ಪಾಯಿಂಟ್ ಸುರಂಗದ ದೂರದ ತುದಿ, ಮತ್ತು ಅದೇ DMZ ರೂಟ್‌ಗೆ ಬೇಕಾದ ವಿಳಾಸ; ರೂಟ್ ಮಾಡಿದ ಸುರಂಗದಲ್ಲಿ ಸಮಾನವಾದದ್ದು ಕ್ಲೈಂಟ್ ವರದಿ ಮಾಡುವ ಇಂಟರ್‌ಫೇಸ್ ಅಥವಾ ಗೇಟ್‌ವೇ. ಎರಡೂ ಕಾಣದಿದ್ದರೆ, ಕ್ಲೈಂಟ್ ನೀವು ಊಹಿಸಿದ ಕ್ರಮದಲ್ಲಿಲ್ಲ.

ಮುಂದಿನ ಸಂಪರ್ಕದ ನಂತರ, ಮತ್ತು ಇದನ್ನು ಸ್ಥಳೀಯವಾಗಿ ಯಾವಾಗ ನಿಲ್ಲಿಸಬೇಕು

FortiClient ನಿದ್ರೆ ಅಥವಾ ಜಾಲ ಬದಲಾವಣೆಯ ನಂತರ ಮತ್ತೆ ಸಂಪರ್ಕಿಸಿ ಪ್ರೊಫೈಲ್ ಸೂಚಿಸಿದ್ದನ್ನು ಮತ್ತೆ ಸ್ಥಾಪಿಸುತ್ತದೆ. ಆದ್ದರಿಂದ ಕೈಯಿಂದ ಮಾಡಿದ ರೂಟ್‌ಗಳು ಮುಂದಿನ ಸಂಪರ್ಕದವರೆಗೆ ಮಾತ್ರ ಉಳಿಯುತ್ತವೆ, ಮತ್ತು ಅದೇ ಒಂದು ಯಶಸ್ವಿ ಪರೀಕ್ಷೆ ಸರಿಪಡಿಸುವಿಕೆ ಎಂದು ಕಾಣಬಹುದಾದ ಮಧ್ಯಂತರ. ರಾತ್ರಿಯಲ್ಲಿ ಮಾಯವಾಗುವ ರೂಟ್ ನಿರೀಕ್ಷಿತ ವರ್ತನೆ, ಹೊಸ ದೋಷವಲ್ಲ.

ಎರಡು ಶಾಶ್ವತ ಉತ್ತರಗಳಿವೆ. ಪ್ರತಿ ಸಂಪರ್ಕದ ನಂತರ ಸರಿಪಡಿಸುವಿಕೆಯನ್ನು ಮತ್ತೆ ಚಲಾಯಿಸುವ ಸ್ಕ್ರಿಪ್ಟ್ ತನ್ನ ಲೇಖಕನಿಗಿಂತ ಹೆಚ್ಚು ಕಾಲ ಬದುಕಬಹುದಾದ ತಾತ್ಕಾಲಿಕ ಉಪಾಯ, ಆದರೆ ಗೇಟ್‌ವೇ ನಿರ್ವಾಹಕರಿಂದ ಸ್ಪ್ಲಿಟ್-ಸುರಂಗ ಪ್ರೊಫೈಲ್ ನಿಜವಾದ ಸರಿಪಡಿಸುವಿಕೆ, ಏಕೆಂದರೆ ಆಗ ಕ್ಲೈಂಟ್ ಕೆಲಸಕ್ಕೆ ಬೇಕಾದ ಶ್ರೇಣಿಗಳನ್ನು ಮಾತ್ರ ಸ್ಥಾಪಿಸುತ್ತದೆ. ಎರಡನೆಯದನ್ನು ಕೇಳಿ ಮತ್ತು ಮೊದಲನೆಯದನ್ನು ಕಾಯುತ್ತಿರುವಾಗ ಮಾತ್ರ ಬಳಸಿ. ಸ್ಥಳೀಯವಾಗಿ ಪೂರ್ಣ ಸುರಂಗವನ್ನು ವಿಭಜಿಸುವ ಮೊದಲು ನೀವು ಒಪ್ಪಿದ ನೀತಿಯನ್ನೂ ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ದೂರದ ಜಾಲ ನಿಮ್ಮ ಎಲ್ಲ ಸಂಚಾರವನ್ನು ನೋಡುವುದನ್ನು ಅವಲಂಬಿಸಿರಬಹುದು.

ಪರಿಶೀಲನಾ ಪಟ್ಟಿ ಚಿಕ್ಕದು: ಕೋಷ್ಟಕ ಓದಿ, ಸುರಂಗದ ಡೀಫಾಲ್ಟ್ ರೂಟ್ ಅಳಿಸಿ, LAN ಡೀಫಾಲ್ಟ್ ರೂಟ್ ಮರುಸ್ಥಾಪಿಸಿ, ಪ್ರತಿ ಪ್ರಿಫಿಕ್ಸ್ ಸೇರಿಸಿ, ಪರಿಹಾರವನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಸರಿಪಡಿಸಿ, ಮತ್ತು ಮರುಸಂಪರ್ಕದಲ್ಲಿ ರೂಟ್‌ಗಳು ಮರಳುತ್ತವೆ ಎಂದು ನಿರೀಕ್ಷಿಸಿ.