Tunnel penuh FortiClient: hanya halakan subnet pejabat

Tunnel naik, ikon menjadi hijau dan rangkaian tempatan hilang: pencetak, NAS dan penghala pejabat semuanya berhenti menjawab. FortiClient melakukan apa yang diminta oleh profil. Gerbang menghantar laluan lalai, klien memasangnya, dan setiap paket kini mempunyai laluan ke dalam tunnel. Pembaikan ialah suntingan jadual laluan dengan suntingan DNS di belakangnya, dan urutan suntingan itu menentukan sama ada mesin berakhir lebih baik atau lebih teruk.

Apa yang dipasang oleh klien, dan mengapa LAN hilang

Mulakan dengan membaca jadual dan bukannya antara muka klien. Pada macOS netstat -rn mencetak seluruh jadual dan route -n get default menamakan antara muka dan metrik yang menang sekarang; pada Linux pasangannya ialah ip route show dan ip route get 8.8.8.8. Kedua-duanya menjawab satu soalan: entri mana yang akan membawa paket yang tidak sepadan dengan apa-apa yang lebih spesifik.

Nama peranti tunnel tidak tetap. Profil IKEv2 pada macOS biasanya menunjukkan utun dengan nombor, klien SSL VPN menunjukkan ppp0, dan OpenVPN menunjukkan tun0. Dua laluan lalai juga boleh hadir serentak dengan metrik berbeza, dan entri klien mungkin hanya mengambil alih selepas sambungan semula dan bukan pada saat ia muncul. Itulah sebabnya dua dump jadual yang diambil lima minit berbeza boleh menceritakan kisah yang berlainan.

Mengapa laluan lalai tunnel mesti pergi dahulu

Kernel memilih awalan yang paling panjang sepadan, dan apabila beberapa laluan sama spesifik ia memilih yang metriknya paling rendah. Klien yang memasang 0.0.0.0/0 dengan metrik lebih baik oleh itu memenangi setiap destinasi tanpa memadam laluan lalai asal, dan itulah sebabnya laluan fizikal masih dalam jadual dan masih menjelaskan gangguan. Mengeluarkan laluan lalai tunnel dahulu memulihkan tingkah laku sebelumnya. Hanya selepas itu laluan awalan melalui tunnel melakukan apa yang dimaksudkan oleh penulisnya.

Menambah awalan sebelum langkah itu ialah kesilapan yang menghasilkan mesin separuh berfungsi. Trafik untuk awalan baharu mengikut tunnel, dan semua yang tidak tersenarai juga mengikut laluan lalai tunnel, jadi tiada apa yang kelihatan rosak sehingga seseorang membuka perkhidmatan yang tiada siapa menambah. Padam, pulihkan, kemudian tambah, dan keadaan pertengahan kekal boleh diramal.

Urutan pada macOS dan pada Linux

Pada macOS urutan itu memadam laluan lalai tunnel, memulihkan laluan lalai fizikal dan menghantar satu awalan pejabat kembali ke dalam tunnel. Gantikan nama antara muka contoh di sini dengan nama daripada jadual anda sendiri.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Pada Linux urutan yang sama menggunakan alat lain: gerbang LAN untuk laluan lalai dan peranti tunnel untuk awalan pejabat. Perintah lama route masih menerima sintaks lama, tetapi ip route ialah bentuk yang sepadan dengan dokumentasi semasa.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Apabila laluan memerlukan hop seterusnya dan bukan peranti, ambil peer daripada keluaran klien. Meneka menghasilkan salah satu daripada dua ralat, dan kedua-duanya bermakna perkara berbeza: gerbang yang salah memberi network unreachable serta-merta, manakala sasaran tunnel yang salah memberi tamat masa. Baca yang mana anda dapat sebelum menukar perintah itu lagi.

Awalan, penyelesai dan DMZ yang kekal gelap

Satu awalan jarang meliputi keseluruhan kerja. Pelayan aplikasi, rangkaian pengurusan, DMZ dan pelayan DNS itu sendiri boleh berada dalam julat yang berbeza, jadi senaraikan setiap julat yang anda boleh namakan sebelum bermula dan uji carian di sebelah setiap ping. Destinasi yang ditemui di tengah-tengah ujian ialah yang dilupakan dalam rekod perubahan. Laluan yang menjawab mengikut alamat tetapi gagal mengikut nama biasanya masalah penyelesai yang memakai kostum penghalaan.

Penyelesai ialah keputusan berasingan. Apabila profil menghantar pelayan DNS dalaman, mengambil laluan lalai boleh membiarkan alamat itu tidak dapat dicapai untuk nama awam atau hanya boleh dicapai melalui tunnel, dan kedua-dua keadaan menghasilkan keputusan separa yang mengelirukan. Halakan alamat penyelesai melalui tunnel, atau konfigurasikan penyelesaian mengikut domain supaya carian awam menggunakan penyelesai tempatan.

Klien SSL Linux mempunyai kegagalan khusus medan yang wajar diketahui: tunnel bersambung, LAN pejabat menjawab, dan satu julat DMZ kekal gelap. Bahagian yang hilang ialah laluan untuk julat itu melalui gerbang tunnel, dan gerbang berbeza antara mesin, jadi alamat yang dikodkan keras ialah cara komputer riba seterusnya rosak. Terbitkan ia daripada keadaan klien dan biarkan perintah itu mendokumenkan dirinya sendiri:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Baca kedua-dua nilai sebelum menjalankannya. peer ialah hujung jauh tunnel titik-ke-titik, dan itulah alamat yang diperlukan oleh laluan DMZ; pada tunnel yang dihalakan setara dengannya ialah antara muka atau gerbang yang dilaporkan klien. Jika kedua-duanya tidak muncul, klien bukan dalam mod yang anda andaikan.

Selepas sambungan seterusnya, dan bila hendak berhenti melakukannya secara tempatan

FortiClient bersambung semula selepas tidur atau perubahan rangkaian dan memasang semula apa yang ditetapkan oleh profil. Laluan manual oleh itu hanya bertahan sehingga sambungan seterusnya, dan itulah tepat selang masa apabila satu ujian yang berjaya boleh kelihatan seperti pembaikan. Laluan yang hilang semalaman ialah tingkah laku yang dijangka, bukan kerosakan baharu.

Terdapat dua jawapan yang tahan lama. Skrip yang menjalankan semula pembetulan selepas setiap sambungan ialah jalan pintas yang boleh hidup lebih lama daripada penulisnya, manakala profil tunnel terbelah daripada pentadbir gerbang ialah pembaikan sebenar, kerana klien kemudian hanya memasang julat yang diperlukan oleh kerja. Mintalah yang kedua dan gunakan yang pertama hanya semasa menunggu. Periksa juga dasar yang anda persetujui sebelum membelah tunnel penuh secara tempatan, kerana rangkaian jauh mungkin bergantung pada melihat seluruh trafik anda.

Senarai semak itu pendek: baca jadual, padam laluan lalai tunnel, pulihkan laluan lalai LAN, tambah setiap awalan, betulkan penyelesaian secara berasingan, dan jangkakan laluan kembali apabila bersambung semula.