FortiClient pilns tunelis: maršrutēt tikai biroja apakštīklu

Tunelis paceļas, ikona kļūst zaļa, un vietējais tīkls pazūd: printeri, NAS un biroja maršrutētājs pārstāj atbildēt. FortiClient dara to, ko prasīja profils. Vārteja nosūtīja noklusēto maršrutu, klients to instalēja, un tagad katram paketam ir ceļš tunelī. Labojums ir maršrutu tabulas rediģēšana un aiz tās DNS rediģēšana, un šo rediģējumu secība nosaka, vai iekārta beigs labāk vai sliktāk.

Ko klients instalēja un kāpēc pazuda LAN

Sāciet ar tabulas lasīšanu, nevis klienta saskarni. macOS netstat -rn izdrukā visu tabulu, un route -n get default nosauc saskarni un metriku, kas pašlaik uzvar; Linux gadījumā pāris ir ip route show un ip route get 8.8.8.8. Abi atbild uz vienu jautājumu: kura ieraksts pārvadās paketi, kas neatbilst nekam konkrētākam.

Tuneļa ierīces nosaukums nav fiksēts. IKEv2 profils macOS parasti rāda utun ar numuru, SSL VPN klients rāda ppp0, un OpenVPN rāda tun0. Divi noklusētie maršruti var būt arī vienlaikus ar dažādām metrikām, un klienta ieraksts var pārņemt vadību tikai pēc atkārtotas savienošanas, nevis tajā mirklī, kad tas parādās. Tāpēc divi tabulas izdrukas ar piecu minūšu starpību var stāstīt dažādus stāstus.

Kāpēc tuneļa noklusētajam maršrutam jāaiziet pirmais

Kodols izvēlas garāko atbilstošo prefiksu, un, ja vairāki maršruti ir vienlīdz konkrēti, tas izvēlas to ar zemāko metriku. Tāpēc klients, kas instalē 0.0.0.0/0 ar labāku metriku, uzvar katru galamērķi, nedzēšot sākotnējo noklusēto maršrutu, un tāpēc fiziskais maršruts joprojām ir tabulā un joprojām izskaidro pārtraukumu. Vispirms noņemot tuneļa noklusēto maršrutu, tiek atjaunota iepriekšējā uzvedība. Tikai pēc tam prefiksa maršruts caur tuneli dara to, ko tā autors bija domājis.

Prefiksu pievienošana pirms šī soļa ir kļūda, kas rada pusstrādājošu iekārtu. Jaunā prefiksa trafiks seko tunelim, un viss, kas nav sarakstā, arī seko tuneļa noklusētajam maršrutam, tāpēc nekas neizskatās salūzis, līdz kāds atver pakalpojumu, ko neviens nav pievienojis. Dzēsiet, atjaunojiet, pēc tam pievienojiet, un starpstāvoklis paliek paredzams.

Secība macOS un Linux

macOS secība dzēš tuneļa noklusēto maršrutu, atjauno fizisko noklusēto maršrutu un nosūta vienu biroja prefiksu atpakaļ tunelī. Aizstājiet šeit minētos ilustratīvos saskarnes nosaukumus ar savas tabulas nosaukumiem.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Linux tā pati kārtība izmanto citu rīku: LAN vārteju noklusētajam maršrutam un tuneļa ierīci biroja prefiksam. Vecā route komanda joprojām pieņem veco sintaksi, bet ip route ir forma, kas atbilst pašreizējai dokumentācijai.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Kad maršrutam vajag nākamo lēcienu, nevis ierīci, paņemiet peer no klienta izvades. Minēšana dod vienu no divām kļūdām, un tām ir atšķirīga nozīme: nepareiza vārteja uzreiz dod network unreachable, bet nepareizs tuneļa mērķis dod taimautu. Izlasiet, kuru saņēmāt, pirms atkal maināt komandu.

Prefiksi, risinātājs un DMZ, kas paliek tumša

Viens prefikss reti nosedz visu darbu. Lietojumprogrammu serveri, pārvaldības tīkli, DMZ un paši DNS serveri var būt katrs citā diapazonā, tāpēc pirms sākšanas uzskaitiet katru diapazonu, ko varat nosaukt, un blakus katram ping pārbaudiet vaicājumu. Pārbaudes laikā atklātais galamērķis ir tas, kas tiek aizmirsts izmaiņu žurnālā. Maršruts, kas atbild pēc adreses, bet neizdodas pēc nosaukuma, parasti ir risinātāja problēma maršrutēšanas kostīmā.

Risinātājs ir atsevišķs lēmums. Kad profils ir nosūtījis iekšējos DNS serverus, noklusētā maršruta noņemšana var atstāt šīs adreses nesasniedzamas publiskiem nosaukumiem vai sasniedzamas tikai caur tuneli, un abi stāvokļi dod mulsinošus daļējus rezultātus. Maršrutējiet risinātāja adreses caur tuneli vai konfigurējiet atrisināšanu pa domēniem, lai publiskie vaicājumi izmantotu vietējo risinātāju.

Linux SSL klientam ir laukam raksturīga kļūme, ko ir vērts zināt: tunelis savienojas, biroja LAN atbild, un viens DMZ diapazons paliek tumšs. Trūkstošā daļa ir maršruts šim diapazonam caur tuneļa vārteju, un vārteja atšķiras starp iekārtām, tāpēc cieti kodēta adrese ir veids, kā sabrūk nākamais portatīvais dators. Atvasiniet to no klienta stāvokļa un saglabājiet komandu pašdokumentējošu:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Izlasiet abas vērtības pirms tās palaišanas. peer ir punkta uz punktu tuneļa tālākais gals, un tā ir adrese, kas vajadzīga DMZ maršrutam; maršrutētā tunelī ekvivalents ir saskarne vai vārteja, ko klients ziņo. Ja neviens neparādās, klients nav režīmā, kuru jūs pieņēmāt.

Pēc nākamā savienojuma un kad pārtraukt to darīt lokāli

FortiClient atkārtoti savienojas pēc miega vai tīkla maiņas un atkārtoti instalē to, ko nosaka profils. Tāpēc manuālie maršruti izdzīvo tikai līdz nākamajam savienojumam, un tas ir tieši tas intervāls, kurā viens veiksmīgs tests var izskatīties kā labojums. Maršruts, kas pazūd pa nakti, ir gaidīta uzvedība, nevis jauna kļūme.

Ir divas noturīgas atbildes. Skripts, kas atkārto labojumu pēc katra savienojuma, ir apvedceļš, kas var pārdzīvot savu autoru, turpretī sadalītā tuneļa profils no vārtejas administratora ir īstais labojums, jo tad klients instalē tikai tos diapazonus, kas vajadzīgi darbam. Lūdziet otro un izmantojiet pirmo tikai gaidīšanas laikā. Pārbaudiet arī politiku, kurai piekritāt, pirms lokāli sadalāt pilnu tuneli, jo attālais tīkls var paļauties uz to, ka redz visu jūsu trafiku.

Kontrollsaraksts ir īss: izlasiet tabulu, dzēsiet tuneļa noklusēto maršrutu, atjaunojiet LAN noklusēto maršrutu, pievienojiet katru prefiksu, atsevišķi salabojiet atrisināšanu un gaidiet, ka maršruti atgriezīsies pēc atkārtotas savienošanas.