FortiClient Volltunnel: nëmmen d'Büros-Subnetz routen

Den Tunnel kënnt erop, d'Icon gëtt gréng an dat lokalt Netz verschwënnt: Drécker, den NAS an de Büros-Router hale alle mat äntweren op. FortiClient mécht dat, wat de Profil gefrot huet. De Gateway huet eng Standardroute gedréckt, de Client huet se installéiert, an all Pak huet elo ee Wee an den Tunnel. D'Reparatur ass eng Ännerung vun der Routentabelle mat enger DNS-Ännerung hannendrun, an d'Reiefolleg vun deenen Ännerungen entscheet, ob d'Maschinn besser oder méi schlecht dobausse kënnt.

Wat de Client installéiert huet, a firwat d'LAN verschwonnen ass

Fänkt domat un, d'Tabelle ze liesen amplaz vum Client senger Interface. Op macOS dréckt netstat -rn déi ganz Tabelle an route -n get default nennt d'Interface an d'Metrik, déi am Moment gewannen; op Linux ass d'Puer ip route show an ip route get 8.8.8.8. Béid äntweren op eng Fro: wéi en Astéck wäert e Pak droen, deen op näischt méi Spezifesches passt.

Den Numm vum Tunnelapparat ass net fest. En IKEv2-Profil op macOS weist meeschtens utun mat enger Nummer, de SSL VPN-Client weist ppp0, an OpenVPN weist tun0. Zwee Standardrouten kënnen och gläichzäiteg mat ënnerschiddlechen Metrike présent sinn, an den Astéck vum Client iwwerhëlt vläicht eréischt no enger Neiverbindung an net am Moment wou en erschéngt. Dofir kënnen zwou Tabellenausdréck mat fënnef Minutten Ënnerscheed verschidde Geschichten erzielen.

Firwat d'Tunnel-Standardroute als éischt misst fortgoen

De Kernel wielt de längste passenden Präfix, a wann e puer Routen gläich spezifesch sinn, wielt en déi mat der niddregster Metrik. En Client, deen 0.0.0.0/0 mat enger besserer Metrik installéiert, gewënnt dofir all Destinatioun ouni déi ursprénglech Standardroute ze läschen, an dofir ass déi physesch Route nach an der Tabelle an erkläert nach de Feeler. D'Tunnel-Standardroute fir d'éischt ewechzehuelen setzt dat viregt Verhalen erëm op. Eréischt duerno mécht eng Präfixroute duerch den Tunnel dat, wat hire Schreiwer gemengt huet.

Präfixe virun deem Schrëtt bäisetzen ass de Feeler, deen eng hallef funktionéierend Maschinn ergëtt. Den Trafik fir deen neie Präfix follegt dem Tunnel, an alles wat net opgezielt ass follegt och der Tunnel-Standardroute, sou datt näischt futti ausgesäit, bis een en Déngscht opmécht, deen keen derbäi gesat huet. Läscht, setzt erëm a setzt duerno bäi, an den Zwëschenzoustand bleift viraussobar.

D'Reiefolleg op macOS an op Linux

Op macOS läscht d'Reiefolleg d'Tunnel-Standardroute, setzt déi physesch Standardroute erëm an schéckt ee Büros-Präfix an den Tunnel zréck. Ersetzt déi illustrativ Interface-Nimm hei duerch déi aus Ärer eegener Tabelle.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Op Linux benotzt déiselwecht Reiefolleg en anert Wierkzeug, mat dem LAN-Gateway fir d'Standardroute an dem Tunnelapparat fir de Büros-Präfix. Den ale route-Befehl akzeptéiert nach déi al Syntax, awer ip route ass d'Form, déi zu der aktueller Dokumentatioun passt.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Wann d'Route en nächsten Hup amplaz vun engem Apparat brauch, hëlt de Peer aus der Ausgab vum Client. Radiéieren ergëtt eng vun zwou Feeler, an se mene verschiddenes: e falsche Gateway gëtt direkt network unreachable, wärend en falscht Tunnelzil en Zäitofgrëff gëtt. Liest, wéi eng Dir kritt hutt, ier Dir de Befehl nach eng Kéier ännert.

Präfixen, de Resolver an d'DMZ déi däischter bleift

Ee Präfix deckt d'Aarbecht selten of. Applikatiounsserveren, Verwaltungsnetzer, d'DMZ an d'DNS-Servere selwer kënnen all an engem anere Beräich sinn, also zielt all Beräich op, deen Dir nenne kënnt, ier Dir ufänkt, a probéiert eng Opléisung nieft all Ping. En Zil, deen am Mëttel vum Test entdeckt gëtt, ass deen, deen am Ännerungsprotokoll vergiess gëtt. Eng Route, déi no Adress äntwert awer no Numm feelt, ass meeschtens e Resolverproblem am Routing-Kostüm.

De Resolver ass eng separat Entscheedung. Wann de Profil intern DNS-Servere gedréckt huet, kann d'Ewechhuele vun der Standardroute déi Adressen onereechbar fir ëffentlech Nimm maachen oder nëmmen duerch den Tunnel erreechbar, an béid Zoustände ginn verwirrend deelweis Resultater. Rout d'Resolveradressen duerch den Tunnel, oder konfiguréiert d'Opléisung pro Domain, sou datt ëffentlech Ufroe den lokalen Resolver benotzen.

De Linux-SSL-Client huet e feld-spezifesche Feeler, deen et wäert ass ze kennen: den Tunnel verbënnt, d'Büros-LAN äntwert, an ee DMZ-Beräich bleift däischter. Dat fehlend Stéck ass eng Route fir dee Beräich duerch den Tunnel-Gateway, an de Gateway ënnerscheet sech tëschent de Maschinnen, also ass eng haart kodéiert Adress de Wee, wéi dat nächst Laptop futti geet. Leet se aus dem Zoustand vum Client of a haalt de Befehl selbst-dokumentéierend:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Liest déi zwou Wäerter, ier Dir en ausféiert. peer ass dat wäit Enn vun engem Punkt-zu-Punkt-Tunnel, an dat ass d'Adress déi d'DMZ-Route brauch; op engem gerouteten Tunnel ass d'Äquivalent d'Interface oder de Gateway, deen de Client mellt. Wann keent vun béide erschéngt, ass de Client net an deem Modus, deen Dir ugeholl hutt.

No der nächster Verbindung, a wéini Dir dëst lokal ophale sollt

FortiClient verbënnt sech no engem Schlof oder enger Netzwierkännerung nei a installéiert erëm, wat de Profil virschreift. Manuell Routen iwwerliewen dofir nëmmen bis zur nächster Verbindung, an dat ass genee deen Intervall, an deem een eenzelen erfollegräichen Test wéi eng Korrektur ausgesäit. Eng Route déi iwwer Nuecht verschwënnt ass erwaart Verhalen, keen neie Feeler.

Et ginn zwou dauerhaft Äntwerten. E Skript, dat d'Korrektur no all Verbindung nach eng Kéier lafe léisst, ass en Ëmwee, deen säi Schreiwer iwwerliewen kann, wärend e Split-Tunnel-Profil vum Gateway-Administrator déi richteg Korrektur ass, well de Client dann nëmmen d'Beräicher installéiert, déi d'Aarbecht brauch. Frot no der zweeter a benotzt déi éischt nëmmen, während Dir waart. Kontrolléiert och d'Politik, déi Dir akzeptéiert hutt, ier Dir en Volltunnel lokal deelt, well d'wäit Netzwierk sech vläicht drop verloosst, all Ären Trafik ze gesinn.

D'Checklëscht ass kuerz: liest d'Tabelle, läscht d'Tunnel-Standardroute, setzt d'LAN-Standardroute erëm, setzt all Präfix bäi, fléckt d'Opléisung separat, a rechent domat, datt d'Routen bei der Neiverbindung zréckkommen.