FortiClient толук туннели: офистин ички тармагын гана маршруттаңыз

Туннель көтөрүлөт, белги жашыл болот жана жергиликтүү тармак жок болот: принтерлер, NAS жана офис маршрутизатору баары жооп берүүнү токтотот. FortiClient профиль талап кылганды жасап жатат. Шлюз демейки маршрутту жиберди, кардар аны орнотту, эми ар бир пакеттин туннелге кирүү жолу бар. Оңдоо — маршруттар таблицасын түзөтүү жана анын артында DNS түзөтүүсү, ал эми ошол түзөтүүлөрдүн тартиби машина жакшыраак же начарраак бүтөөрүн чечет.

Кардар эмнени орнотту жана LAN эмнеге жок болду

Кардардын интерфейсинин ордуна таблицаны окуудан баштаңыз. macOS-то netstat -rn бүт таблицаны басып чыгарат, ал эми route -n get default азыр жеңип жаткан интерфейс менен метриканы атайт; Linux-то жуп — ip route show жана ip route get 8.8.8.8. Экөө тең бир суроого жооп берет: дагы так эч нерсеге туура келбеген пакетти кайсы жазуу ташыйт.

Туннель түзмөгүнүн аты туруктуу эмес. macOS-тогу IKEv2 профили адатта номур менен utun көрсөтөт, SSL VPN кардары ppp0, ал эми OpenVPN tun0 көрсөтөт. Метрикалары ар башка эки демейки маршрут бир эле учурда болушу мүмкүн, ал эми кардардын жазуусу пайда болгон учурда эмес, кайра туташкандан кийин гана башкарууну алышы мүмкүн. Ошондуктан беш мүнөт аралык менен алынган эки таблица үзүндүсү ар башка окуяларды айтышы мүмкүн.

Туннелдин демейки маршруту эмнеге биринчи кетиши керек

Ядро эң узун дал келүүчү префиксти тандайт, ал эми бир нече маршрут бирдей так болгондо эң төмөн метрикалуусун тандайт. Ошондуктан 0.0.0.0/0 жакшыраак метрика менен орноткон кардар баштапкы демейки маршрутту өчүрбөстөн ар бир багытты жеңет, ошондуктан физикалык маршрут дагы эле таблицада жана үзгүлтүктү дагы эле түшүндүрөт. Туннелдин демейки маршрутун биринчи алып салуу мурунку жүрүм-турумду калыбына келтирет. Ошондон кийин гана туннелден өткөн префикс маршруту автор көздөгөндү аткарат.

Ошол кадамга чейин префикстерди кошуу — жарым-жартылай иштеген машина берүүчү ката. Жаңы префикстин трафиги туннелди ээрчийт, ал эми тизмеде жоктун баары туннелдин демейки маршрутун ээрчийт, ошондуктан эч ким кошпогон кызматты бирөө ачпайынча, эч нерсе бузулган көрүнбөйт. Өчүрүңүз, калыбына келтириңиз, анан кошуңуз, ортолук абал болжолдуу бойдон калат.

macOS жана Linux-тогу тартип

macOS-то тартип туннелдин демейки маршрутун өчүрөт, физикалык демейки маршрутту калыбына келтирет жана бир офис префиксин туннелге кайра жиберет. Бул жердеги мисал интерфейс аттарын өз таблицаңыздагы аттар менен алмаштырыңыз.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Linux-то ушул эле тартип башка куралды колдонот: демейки маршрут үчүн LAN шлюзу жана офис префикси үчүн туннель түзмөгү. Эски route буйругу эски синтаксисти дагы эле кабыл алат, бирок ip route — азыркы документтерге туура келген форма.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Маршрут түзмөктүн ордуна кийинки секирикке муктаж болгондо, peer-ды кардардын чыгарылышынан алыңыз. Болжолдоо эки катанын бирин берет, алардын мааниси башка: туура эмес шлюз дароо network unreachable берет, туура эмес туннель бутасы убакыттын бүтүшүн берет. Буйрукту кайра өзгөртүүдөн мурун кайсынысын алганыңызды окуңуз.

Префикстер, чечүүчү жана караңгы бойдон калган DMZ

Бир префикс жумушту сейрек камтыйт. Колдонмо серверлери, башкаруу тармактары, DMZ жана DNS серверлеринин өзү ар башка диапазондо болушу мүмкүн, ошондуктан баштоодон мурун атай алган бардык диапазонду тизмелеп чыгыңыз жана ар бир ping жанында бир сурамды текшериңиз. Тесттин ортосунда табылган багыт — өзгөртүүлөр жазуусунда унутулган нерсе. Дарек боюнча жооп берип, ат боюнча ийгиликсиз болгон маршрут адатта маршруттоо костюмун кийген чечүүчүнүн маселеси.

Чечүүчү — өзүнчө чечим. Профиль ички DNS серверлерин жибергенде, демейки маршрутту алып салуу бул даректерди коомдук аттар үчүн жеткиликсиз же туннель аркылуу гана жеткиликтүү кылып калтырышы мүмкүн, ал эми эки абал тең чаташтырган жарым-жартылай натыйжа берет. Чечүүчүнүн даректерин туннель аркылуу өткөрүңүз же домен боюнча чечүүнү коюңуз, коомдук сурамдар жергиликтүү чечүүчүнү колдонушу үчүн.

Linux SSL кардарында билүүгө татыктуу талаага тиешелүү бузулуу бар: туннель туташат, офис LAN-ы жооп берет, ал эми бир DMZ диапазону караңгы бойдон калат. Жетишпеген бөлүк — ошол диапазон үчүн туннель шлюзу аркылуу маршрут, ал эми шлюз машинадан машинага өзгөрөт, ошондуктан катуу коддолгон дарек — кийинки ноутбук ушундай бузулат. Аны кардардын абалынан чыгарып, буйрукту өзүн-өзү документтештирүүчү бойдон кармаңыз:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Иштетүүдөн мурун эки маанини окуңуз. peer — чекиттен чекитке туннелдин алыскы учу, жана дал ушул дарек DMZ маршрутуна керек; маршрутталган туннелде барабардыгы — кардар билдирген интерфейс же шлюз. Экөө тең көрүнбөсө, кардар сиз болжолдогон режимде эмес.

Кийинки туташуудан кийин жана муну жергиликтүү түрдө качан токтотуу керек

FortiClient уйкудан же тармак өзгөрүүсүнөн кийин кайра туташып, профиль белгилегендин баарын кайра орнотот. Ошондуктан кол менен жасалган маршруттар кийинки туташууга чейин гана жашайт, ал эми дал ошол аралыкта бир ийгиликтүү тест оңдоо болуп көрүнүшү мүмкүн. Түнү жок болуп кеткен маршрут — күтүлгөн жүрүм-турум, жаңы бузулуу эмес.

Эки туруктуу жооп бар. Ар бир туташуудан кийин оңдоону кайра иштеткен скрипт — авторунан узак жашашы мүмкүн болгон айланып өтүү, ал эми шлюз администраторунан келген бөлүнгөн туннель профили — чыныгы оңдоо, анткени ошондо кардар жумушка керектүү диапазондорду гана орнотот. Экинчисин сураңыз, биринчисин күтүп жатканда гана колдонуңуз. Толук туннелди жергиликтүү бөлүүдөн мурун макулдашкан саясатты да текшериңиз, анткени алыскы тармак сиздин бүт трафигиңизди көрүүгө таянышы мүмкүн.

Текшерүү тизмеси кыска: таблицаны окуңуз, туннелдин демейки маршрутун өчүрүңүз, LAN демейки маршрутун калыбына келтириңиз, ар бир префиксти кошуңуз, чечүүнү өзүнчө оңдоңуз жана кайра туташканда маршруттар кайтаарын күтүңүз.