FortiClient бүрэн туннель: зөвхөн оффисын дэд сүлжээг маршрутлах

Туннель босч, дүрс ногоон болж, локал сүлжээ алга болно: принтерүүд, NAS болон оффисын чиглүүлэгч бүгд хариу өгөхөө болино. FortiClient профайлын шаардсаныг хийж байна. Гарц нь үндсэн маршрутыг илгээж, клиент үүнийг суулгасан бөгөөд одоо пакет бүр туннель руу орох замтай. Залруулга нь маршрутын хүснэгтийн засвар ба түүний ард байх DNS-ийн засвар бөгөөд эдгээр засварын дараалал нь машин илүү сайн эсвэл илүү муугаар дуусахыг шийднэ.

Клиент юу суулгасан, LAN яагаад алга болсон

Клиентийн интерфейсийн оронд хүснэгтийг уншиж эхэл. macOS дээр netstat -rn бүх хүснэгтийг хэвлэж, route -n get default нь одоо ялж буй интерфейс болон метрикийг нэрлэнэ; Linux дээр хос нь ip route show ба ip route get 8.8.8.8. Хоёулаа нэг асуултад хариулна: илүү тодорхой зүйлтэй тохирохгүй пакетыг аль бичлэг зөөх вэ.

Туннелийн төхөөрөмжийн нэр тогтмол биш. macOS дээрх IKEv2 профайл ихэвчлэн тоотой utun харуулж, SSL VPN клиент ppp0, OpenVPN нь tun0 харуулна. Өөр метриктэй хоёр үндсэн маршрут нэгэн зэрэг байж болох бөгөөд клиентийн бичлэг гарч ирсэн мөчид бус, дахин холбогдсоны дараа л удирдлагыг авах боломжтой. Тиймээс таван минутын зайтай авсан хоёр хүснэгтийн хуулбар өөр түүх ярьж болно.

Туннелийн үндсэн маршрут яагаад эхлээд явах ёстой вэ

Цөм хамгийн урт тохирох префиксийг сонгох ба хэд хэдэн маршрут адилхан тодорхой бол хамгийн бага метриктэйг сонгоно. Тиймээс 0.0.0.0/0-г илүү сайн метрикээр суулгасан клиент анхны үндсэн маршрутыг устгахгүйгээр бүх очих газрыг хожно, тиймээс физик маршрут хүснэгтэд хэвээр байгаа бөгөөд тасалдлыг тайлбарсaар байна. Туннелийн үндсэн маршрутыг эхлээд арилгах нь өмнөх зан үйлийг сэргээнэ. Зөвхөн дараа нь туннелээр дамжих префикс маршрут зохиогчийн хүссэнийг хийнэ.

Тэр алхмын өмнө префикс нэмэх нь хагас ажилладаг машин үүсгэдэг алдаа юм. Шинэ префиксийн урсгал туннелийг дагах ба жагсаалтад байхгүй бүхэн мөн туннелийн үндсэн маршрутыг дагана, тиймээс хэн ч нэмээгүй үйлчилгээг хэн нэгэн нээх хүртэл юу ч эвдэрсэн харагдахгүй. Устга, сэргээ, дараа нь нэм, завсрын төлөв урьдчилан таамаглагдах хэвээр байна.

macOS болон Linux дээрх дараалал

macOS дээр энэ дараалал туннелийн үндсэн маршрутыг устгаж, физик үндсэн маршрутыг сэргээж, нэг оффисын префиксийг туннель руу буцааж илгээнэ. Эндхийн жишээ интерфейсийн нэрсийг өөрийн хүснэгтийн нэрсээр соль.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Linux дээр ижил дараалал өөр хэрэгсэл ашиглана: үндсэн маршрутад LAN-ийн гарц, оффисын префикст туннелийн төхөөрөмж. Хуучин route команд хуучин синтаксийг хүлээн авсaар байгаа ч ip route нь одоогийн баримт бичигт тохирох хэлбэр юм.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Маршрутад төхөөрөмжийн оронд дараагийн үсрэлт хэрэгтэй бол клиентийн гаралтаас peer-ыг ав. Таамаглах нь хоёр алдааны нэгийг өгдөг бөгөөд тэдгээрийн утга өөр: буруу гарц тэр даруй network unreachable өгөх бол буруу туннелийн зорилт хугацаа хэтэрхий өгнө. Командыг дахин өөрчлөхийн өмнө алийг нь авснаа унш.

Префиксүүд, шийдэгч болон харанхуй хэвээр үлдэх DMZ

Нэг префикс ажлыг бүхэлд нь хаах нь ховор. Аппликейшны серверүүд, удирдлагын сүлжээнүүд, DMZ болон DNS серверүүд өөрсдөө тус бүр өөр хүрээнд байж болно, тиймээс эхлэхийн өмнө нэрлэж чадах бүх хүрээг жагсааж, ping бүрийн хажууд нэг хайлт туршиж үзээрэй. Туршилтын дунд илэрсэн очих газар нь өөрчлөлтийн бүртгэлд мартагддаг газар юм. Хаягаар хариулж нэрээр бүтэлгүйтдэг маршрут нь ихэвчлэн маршрутлалтын хувцастай шийдэгчийн асуудал юм.

Шийдэгч нь тусдаа шийдвэр. Профайл дотоод DNS серверүүдийг илгээсэн үед үндсэн маршрутыг авах нь тэдгээр хаягийг нийтийн нэрст хүрэхгүй эсвэл зөвхөн туннелээр хүрэх боломжтой болгож болох бөгөөд хоёр төлөв нь төөрөгдүүлсэн хэсэгчилсэн үр дүн өгнө. Шийдэгчийн хаягуудыг туннелээр дамжуул, эсвэл домэйн тус бүрээр шийдэл тохируулж, нийтийн хайлтууд локал шийдэгчийг ашиглах болго.

Linux SSL клиент нь мэдэх үнэ цэнэтэй талбарт хамаарах гэмтэлтэй: туннель холбогдож, оффисын LAN хариулж, нэг DMZ хүрээ харанхуй хэвээр үлддэг. Дутуу хэсэг нь тэр хүрээнд туннелийн гарцаар дамжих маршрут бөгөөд гарц нь машинаас машинad өөр байдаг тул хатуу кодлосон хаяг нь дараагийн зөөврийн компьютер хэрхэн эвдэрдэг вэ гэдэг юм. Үүнийг клиентийн төлвөөс гаргаж, командыг өөрөө баримтжуулсан хэвээр үлдээ:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Ажиллуулахын өмнө хоёр утгыг унш. peer нь цэгээс цэг рүү туннелийн холын төгсгөл бөгөөд энэ нь DMZ маршрутад хэрэгтэй хаяг юм; маршрутлагдсан туннельд түүнтэй адил зүйл бол клиентийн мэдээлдэг интерфейс эсвэл гарц юм. Аль нь ч харагдахгүй бол клиент таны таамагласан горимд байхгүй.

Дараагийн холболтын дараа, мөн үүнийг локалаар хийхээ хэзээ зогсоох вэ

FortiClient унтах эсвэл сүлжээ өөрчлөгдсөний дараа дахин холбогдож, профайлын заасныг дахин суулгана. Тиймээс гар аргаар хийсэн маршрутууд зөвхөн дараагийн холболт хүртэл амьдарна, энэ нь нэг амжилттай туршилт засвар мэт харагдах яг тэр завсар юм. Шөнийн дотор алга болсон маршрут нь хүлээгдэж буй зан үйл бөгөөд шинэ гэмтэл биш.

Хоёр тогтвортой хариулт байна. Холболт бүрийн дараа засварыг дахин ажиллуулдаг скрипт нь зохиогчоосоо урт насалж болох түр зуурын арга бол гарцын админаас өгсөн хуваагдсан туннелийн профайл нь жинхэнэ засвар, учир нь тэр үед клиент ажилд хэрэгтэй хүрээг л суулгана. Хоёр дахьыг нь хүс, эхнийх нь зөвхөн хүлээх хугацаанд ашигла. Бүрэн туннелийг локалаар хуваахын өмнө зөвшөөрсөн бодлогоо шалгаарай, учир нь алсын сүлжээ таны бүх урсгалыг харахад найдаж байж болно.

Шалгах жагсаалт богино: хүснэгтийг унш, туннелийн үндсэн маршрутыг устга, LAN-ийн үндсэн маршрутыг сэргээ, префикс бүрийг нэм, шийдлийг тусад нь засаж, дахин холбогдоход маршрутууд буцаж ирнэ гэж хүлээ.