FortiClient പൂർണ്ണ ടണൽ: ഓഫീസ് സബ്‌നെറ്റ് മാത്രം റൂട്ട് ചെയ്യുക

ടണൽ ഉയരുന്നു, ഐക്കൺ പച്ചയാകുന്നു, ലോക്കൽ നെറ്റ്‌വർക്ക് അപ്രത്യക്ഷമാകുന്നു: പ്രിന്ററുകൾ, NAS, ഓഫീസ് റൂട്ടർ എല്ലാം പ്രതികരിക്കുന്നത് നിർത്തുന്നു. FortiClient പ്രൊഫൈൽ ആവശ്യപ്പെട്ടത് ചെയ്യുകയാണ്. ഗേറ്റ്‌വേ ഒരു ഡിഫോൾട്ട് റൂട്ട് അയച്ചു, ക്ലയന്റ് അത് ഇൻസ്റ്റാൾ ചെയ്തു, ഇപ്പോൾ ഓരോ പാക്കറ്റിനും ടണലിലേക്കുള്ള വഴിയുണ്ട്. നന്നാക്കൽ എന്നത് റൂട്ട് ടേബിളിന്റെ എഡിറ്റും അതിന് പിന്നിലെ DNS എഡിറ്റുമാണ്, ആ എഡിറ്റുകളുടെ ക്രമമാണ് യന്ത്രം കൂടുതൽ നല്ലതോ മോശമോ ആയി അവസാനിക്കുന്നത് നിർണ്ണയിക്കുന്നത്.

ക്ലയന്റ് എന്ത് ഇൻസ്റ്റാൾ ചെയ്തു, എന്തുകൊണ്ട് LAN അപ്രത്യക്ഷമായി

ക്ലയന്റ് ഇന്റർഫേസിന് പകരം പട്ടിക വായിച്ചുകൊണ്ട് തുടങ്ങുക. macOS-ൽ netstat -rn മുഴുവൻ പട്ടികയും പ്രിന്റ് ചെയ്യുന്നു, route -n get default ഇപ്പോൾ വിജയിക്കുന്ന ഇന്റർഫേസും മെട്രിക്കും പേരിടുന്നു; Linux-ൽ ജോടി ip route show, ip route get 8.8.8.8 എന്നിവയാണ്. രണ്ടും ഒരു ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു: കൂടുതൽ നിർദ്ദിഷ്ടമായ ഒന്നുമായും പൊരുത്തപ്പെടാത്ത ഒരു പാക്കറ്റ് ഏത് എൻട്രി വഹിക്കും.

ടണൽ ഉപകരണത്തിന്റെ പേര് സ്ഥിരമല്ല. macOS-ലെ IKEv2 പ്രൊഫൈൽ സാധാരണയായി ഒരു സംഖ്യയോടുകൂടി utun കാണിക്കുന്നു, SSL VPN ക്ലയന്റ് ppp0 കാണിക്കുന്നു, OpenVPN tun0 കാണിക്കുന്നു. വ്യത്യസ്ത മെട്രിക്കുകളോടെ രണ്ട് ഡിഫോൾട്ടുകൾ ഒരേ സമയം ഉണ്ടാകാം, ക്ലയന്റ് എൻട്രി പ്രത്യക്ഷപ്പെടുന്ന നിമിഷത്തിൽ അല്ല, വീണ്ടും കണക്ട് ചെയ്തതിന് ശേഷം മാത്രമായിരിക്കാം നിയന്ത്രണം ഏറ്റെടുക്കുക. അതുകൊണ്ടാണ് അഞ്ച് മിനിറ്റ് ഇടവേളയിൽ എടുത്ത രണ്ട് പട്ടിക ഡംപുകൾ വ്യത്യസ്ത കഥകൾ പറയാൻ കഴിയുന്നത്.

ടണൽ ഡിഫോൾട്ട് റൂട്ട് ആദ്യം പോകേണ്ടത് എന്തുകൊണ്ട്

കർണൽ ഏറ്റവും നീളമുള്ള പൊരുത്തപ്പെടുന്ന പ്രിഫിക്സ് തിരഞ്ഞെടുക്കുന്നു, നിരവധി റൂട്ടുകൾ ഒരേപോലെ നിർദ്ദിഷ്ടമാണെങ്കിൽ ഏറ്റവും കുറഞ്ഞ മെട്രിക്കുള്ളത് തിരഞ്ഞെടുക്കുന്നു. അതുകൊണ്ട് 0.0.0.0/0 മികച്ച മെട്രിക്കോടെ ഇൻസ്റ്റാൾ ചെയ്യുന്ന ക്ലയന്റ് യഥാർത്ഥ ഡിഫോൾട്ട് ഒഴിവാക്കാതെ ഓരോ ലക്ഷ്യവും നേടുന്നു, അതുകൊണ്ടാണ് ഫിസിക്കൽ റൂട്ട് ഇപ്പോഴും പട്ടികയിലുള്ളതും തടസ്സം വിശദീകരിക്കുന്നതും. ടണൽ ഡിഫോൾട്ട് റൂട്ട് ആദ്യം നീക്കം ചെയ്താൽ മുൻ സ്വഭാവം പുനഃസ്ഥാപിക്കപ്പെടും. അതിനുശേഷം മാത്രമാണ് ടണലിലൂടെയുള്ള പ്രിഫിക്സ് റൂട്ട് അതിന്റെ രചയിതാവ് ഉദ്ദേശിച്ചത് ചെയ്യുന്നത്.

ആ ഘട്ടത്തിന് മുമ്പ് പ്രിഫിക്സുകൾ ചേർക്കുന്നതാണ് പകുതി പ്രവർത്തിക്കുന്ന യന്ത്രം ഉണ്ടാക്കുന്ന തെറ്റ്. പുതിയ പ്രിഫിക്സിന്റെ ട്രാഫിക് ടണലിനെ പിന്തുടരുന്നു, ലിസ്റ്റിൽ ഇല്ലാത്തതെല്ലാം ടണൽ ഡിഫോൾട്ടിനെയും പിന്തുടരുന്നു, അതിനാൽ ആരും ചേർക്കാത്ത ഒരു സേവനം ആരെങ്കിലും തുറക്കുന്നതുവരെ ഒന്നും തകർന്നതായി തോന്നുന്നില്ല. ഇല്ലാതാക്കുക, പുനഃസ്ഥാപിക്കുക, പിന്നീട് ചേർക്കുക, ഇടക്കുള്ള അവസ്ഥ പ്രവചനാതീതമായി തുടരും.

macOS-ലും Linux-ലും ക്രമം

macOS-ൽ ഈ ക്രമം ടണൽ ഡിഫോൾട്ട് റൂട്ട് ഇല്ലാതാക്കുന്നു, ഫിസിക്കൽ ഡിഫോൾട്ട് പുനഃസ്ഥാപിക്കുന്നു, ഒരു ഓഫീസ് പ്രിഫിക്സ് ടണലിലേക്ക് തിരികെ അയക്കുന്നു. ഇവിടെയുള്ള ഉദാഹരണ ഇന്റർഫേസ് നാമങ്ങൾ നിങ്ങളുടെ സ്വന്തം പട്ടികയിലെ നാമങ്ങൾ കൊണ്ട് മാറ്റുക.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Linux-ൽ അതേ ക്രമം മറ്റൊരു ഉപകരണം ഉപയോഗിക്കുന്നു: ഡിഫോൾട്ടിന് LAN ഗേറ്റ്‌വേയും ഓഫീസ് പ്രിഫിക്സിന് ടണൽ ഉപകരണവും. പഴയ route കമാൻഡ് പഴയ സിന്റാക്സ് ഇപ്പോഴും സ്വീകരിക്കുന്നു, എന്നാൽ നിലവിലെ ഡോക്യുമെന്റേഷനുമായി പൊരുത്തപ്പെടുന്ന രൂപം ip route ആണ്.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

റൂട്ടിന് ഉപകരണത്തിന് പകരം അടുത്ത ചാട്ടം വേണമെങ്കിൽ, ക്ലയന്റ് ഔട്ട്പുട്ടിൽ നിന്ന് peer എടുക്കുക. ഊഹിക്കൽ രണ്ട് പിശകുകളിൽ ഒന്ന് നൽകുന്നു, അവയുടെ അർത്ഥം വ്യത്യസ്തമാണ്: തെറ്റായ ഗേറ്റ്‌വേ ഉടനടി network unreachable നൽകുന്നു, തെറ്റായ ടണൽ ലക്ഷ്യം സമയപരിധി നൽകുന്നു. കമാൻഡ് വീണ്ടും മാറ്റുന്നതിന് മുമ്പ് ഏതാണ് ലഭിച്ചതെന്ന് വായിക്കുക.

പ്രിഫിക്സുകൾ, റിസോൾവർ, ഇരുണ്ടതായി തുടരുന്ന DMZ

ഒരു പ്രിഫിക്സ് ജോലി മുഴുവനായി ഉൾക്കൊള്ളുന്നത് അപൂർവമാണ്. ആപ്ലിക്കേഷൻ സെർവറുകൾ, മാനേജ്മെന്റ് നെറ്റ്‌വർക്കുകൾ, DMZ, DNS സെർവറുകൾ തന്നെ എന്നിവ ഓരോന്നും വ്യത്യസ്ത ശ്രേണിയിൽ ആകാം, അതിനാൽ തുടങ്ങുന്നതിന് മുമ്പ് നിങ്ങൾക്ക് പേരിടാൻ കഴിയുന്ന എല്ലാ ശ്രേണികളും പട്ടികപ്പെടുത്തി ഓരോ ping-ന്റെയും അടുത്ത് ഒരു ലുക്കപ്പ് പരിശോധിക്കുക. പരിശോധനയുടെ നടുവിൽ കണ്ടെത്തുന്ന ലക്ഷ്യമാണ് മാറ്റ രേഖയിൽ മറന്നുപോകുന്നത്. വിലാസം കൊണ്ട് ഉത്തരം നൽകി പേര് കൊണ്ട് പരാജയപ്പെടുന്ന റൂട്ട് സാധാരണയായി റൂട്ടിംഗ് വേഷത്തിലുള്ള റിസോൾവർ പ്രശ്നമാണ്.

റിസോൾവർ വേറിട്ട ഒരു തീരുമാനമാണ്. പ്രൊഫൈൽ ആന്തരിക DNS സെർവറുകൾ അയച്ചിട്ടുണ്ടെങ്കിൽ, ഡിഫോൾട്ട് നീക്കം ചെയ്യുമ്പോൾ ആ വിലാസങ്ങൾ പൊതു നാമങ്ങൾക്ക് എത്തിച്ചേരാൻ കഴിയാത്തതോ ടണലിലൂടെ മാത്രം എത്താവുന്നതോ ആയി തുടരാം, രണ്ട് അവസ്ഥകളും ആശയക്കുഴപ്പമുള്ള ഭാഗിക ഫലങ്ങൾ നൽകുന്നു. റിസോൾവർ വിലാസങ്ങൾ ടണലിലൂടെ റൂട്ട് ചെയ്യുക, അല്ലെങ്കിൽ ഡൊമെയ്ൻ അനുസരിച്ച് റെസല്യൂഷൻ ക്രമീകരിച്ച് പൊതു ലുക്കപ്പുകൾ ലോക്കൽ റിസോൾവർ ഉപയോഗിക്കുന്നതാക്കുക.

Linux SSL ക്ലയന്റിന് അറിയാൻ യോഗ്യമായ ഒരു ഫീൽഡ്-നിർദ്ദിഷ്ട പരാജയമുണ്ട്: ടണൽ കണക്ട് ചെയ്യുന്നു, ഓഫീസ് LAN പ്രതികരിക്കുന്നു, ഒരു DMZ ശ്രേണി ഇരുണ്ടതായി തുടരുന്നു. കാണാത്ത ഭാഗം ടണൽ ഗേറ്റ്‌വേയിലൂടെ ആ ശ്രേണിക്കുള്ള റൂട്ടാണ്, ഗേറ്റ്‌വേ യന്ത്രത്തിന് യന്ത്രം വ്യത്യാസപ്പെടുന്നു, അതിനാൽ ഹാർഡ്കോഡ് ചെയ്ത വിലാസമാണ് അടുത്ത ലാപ്ടോപ്പ് തകരുന്ന വഴി. അത് ക്ലയന്റിന്റെ അവസ്ഥയിൽ നിന്ന് കണ്ടെത്തി കമാൻഡ് സ്വയം-ഡോക്യുമെന്റിംഗ് ആയി സൂക്ഷിക്കുക:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

ഓടിക്കുന്നതിന് മുമ്പ് രണ്ട് മൂല്യങ്ങളും വായിക്കുക. peer പോയിന്റ്-ടു-പോയിന്റ് ടണലിന്റെ വിദൂര അറ്റമാണ്, അതാണ് DMZ റൂട്ടിന് ആവശ്യമായ വിലാസം; റൂട്ട് ചെയ്ത ടണലിൽ തത്തുല്യമായത് ക്ലയന്റ് റിപ്പോർട്ട് ചെയ്യുന്ന ഇന്റർഫേസോ ഗേറ്റ്‌വേയോ ആണ്. രണ്ടും കാണുന്നില്ലെങ്കിൽ, ക്ലയന്റ് നിങ്ങൾ അനുമാനിച്ച മോഡിൽ അല്ല.

അടുത്ത കണക്ഷനുശേഷം, ഇത് ലോക്കലായി എപ്പോൾ നിർത്തണം

ഉറക്കത്തിനോ നെറ്റ്‌വർക്ക് മാറ്റത്തിനോ ശേഷം FortiClient വീണ്ടും കണക്ട് ചെയ്ത് പ്രൊഫൈൽ നിർദ്ദേശിക്കുന്നത് വീണ്ടും ഇൻസ്റ്റാൾ ചെയ്യുന്നു. അതിനാൽ കൈയ്യാൽ ചെയ്ത റൂട്ടുകൾ അടുത്ത കണക്ഷൻ വരെ മാത്രം നിലനിൽക്കും, ഒരു വിജയകരമായ പരിശോധന മികച്ചതാക്കൽ പോലെ തോന്നാവുന്ന ഇടവേള അതാണ്. രാത്രിയിൽ അപ്രത്യക്ഷമാകുന്ന റൂട്ട് പ്രതീക്ഷിത സ്വഭാവമാണ്, പുതിയ തകരാറല്ല.

രണ്ട് സ്ഥിരമായ ഉത്തരങ്ങളുണ്ട്. ഓരോ കണക്ഷനുശേഷവും തിരുത്തൽ വീണ്ടും പ്രവർത്തിപ്പിക്കുന്ന സ്ക്രിപ്റ്റ് അതിന്റെ രചയിതാവിനെക്കാൾ കൂടുതൽ കാലം നിലനിൽക്കാവുന്ന ഒരു താൽക്കാലിക പോംവഴിയാണ്, അതേസമയം ഗേറ്റ്‌വേ അഡ്മിനിസ്ട്രേറ്ററിൽ നിന്നുള്ള സ്പ്ലിറ്റ്-ടണൽ പ്രൊഫൈലാണ് യഥാർത്ഥ പരിഹാരം, കാരണം അപ്പോൾ ക്ലയന്റ് ജോലിക്ക് ആവശ്യമായ ശ്രേണികൾ മാത്രം ഇൻസ്റ്റാൾ ചെയ്യുന്നു. രണ്ടാമത്തേത് ചോദിക്കുക, ആദ്യത്തേത് കാത്തിരിക്കുമ്പോൾ മാത്രം ഉപയോഗിക്കുക. ലോക്കലായി പൂർണ്ണ ടണൽ വിഭജിക്കുന്നതിന് മുമ്പ് നിങ്ങൾ അംഗീകരിച്ച നയവും പരിശോധിക്കുക, കാരണം ദൂരസ്ഥ നെറ്റ്‌വർക്ക് നിങ്ങളുടെ മുഴുവൻ ട്രാഫിക്കും കാണുന്നതിനെ ആശ്രയിച്ചേക്കാം.

പരിശോധനാ ലിസ്റ്റ് ചെറുതാണ്: പട്ടിക വായിക്കുക, ടണൽ ഡിഫോൾട്ട് റൂട്ട് ഇല്ലാതാക്കുക, LAN ഡിഫോൾട്ട് റൂട്ട് പുനഃസ്ഥാപിക്കുക, ഓരോ പ്രിഫിക്സും ചേർക്കുക, റെസല്യൂഷൻ വേറിട്ട് ശരിയാക്കുക, വീണ്ടും കണക്ട് ചെയ്യുമ്പോൾ റൂട്ടുകൾ മടങ്ങുമെന്ന് പ്രതീക്ഷിക്കുക.