Tunnel sħiħ ta' FortiClient: irrotta biss is-subnet tal-uffiċċju

It-tunnel jitla', l-ikona ssir ħadra u n-netwerk lokali jisparixxi: printers, in-NAS u r-router tal-uffiċċju kollha jieqfu jwieġbu. FortiClient qed jagħmel dak li talab il-profil. Il-gateway bagħat rotta default, il-klijent installaha, u issa kull pakkett għandu triq fit-tunnel. It-tiswija hija editjar tat-tabella tar-rotot b'editjar tad-DNS warajh, u l-ordni ta' dawk l-editjar jiddeċiedi jekk il-magna tispiċċax aħjar jew agħar.

X'installa l-klijent, u għaliex sparixxa l-LAN

Ibda billi taqra t-tabella minflok l-interface tal-klijent. Fuq macOS netstat -rn jipprintja t-tabella kollha u route -n get default isemmi l-interface u l-metrika li bħalissa qed jirbħu; fuq Linux il-par huwa ip route show u ip route get 8.8.8.8. It-tnejn iwieġbu mistoqsija waħda: liema entrata se ġġorr pakkett li ma jaqbel ma' xejn aktar speċifiku.

L-isem tal-apparat tat-tunnel mhuwiex fiss. Profil IKEv2 fuq macOS normalment juri utun b'numru, il-klijent SSL VPN juri ppp0, u OpenVPN juri tun0. Żewġ rotot default jistgħu wkoll ikunu preżenti fl-istess ħin b'metriki differenti, u l-entrata tal-klijent tista' tieħu f'idejha biss wara konnessjoni mill-ġdid u mhux fil-mument li tidher. Huwa għalhekk li żewġ dumps tat-tabella meħuda ħames minuti 'l bogħod jistgħu jirrakkontaw stejjer differenti.

Għaliex ir-rotta default tat-tunnel trid titlaq l-ewwel

Il-kernel jagħżel l-itwal prefiss li jaqbel, u meta diversi rotot huma daqstant speċifiċi jagħżel dik bl-inqas metrika. Klijent li jinstalla 0.0.0.0/0 b'metrika aħjar għalhekk jirbaħ kull destinazzjoni mingħajr ma jħassar ir-rotta default oriġinali, u huwa għalhekk li r-rotta fiżika għadha fit-tabella u għadha tispjega l-waqfa. Li tneħħi l-ewwel ir-rotta default tat-tunnel terġa' stabbilixxi l-imġiba preċedenti. Biss wara dan rotta ta' prefiss mit-tunnel tagħmel dak li kien beħsieb l-awtur tagħha.

Li żżid prefissi qabel dan il-pass hija l-iżball li jipproduċi magna li taħdem nofsha. It-traffiku għall-prefiss il-ġdid isegwi t-tunnel, u kull ma mhuwiex elenkat isegwi wkoll ir-rotta default tat-tunnel, allura xejn ma jidher miksur sakemm xi ħadd jiftaħ servizz li ħadd ma żied. Ħassar, erġa' stabbilixxi, imbagħad żid, u l-istat intermedju jibqa' prevedibbli.

Is-sekwenza fuq macOS u fuq Linux

Fuq macOS is-sekwenza tħassar ir-rotta default tat-tunnel, terġa' stabbilixxi r-rotta default fiżika u tibgħat prefiss wieħed tal-uffiċċju lura fit-tunnel. Ibdel l-ismijiet tal-interface illustrattivi hawn b'dawk mit-tabella tiegħek stess.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Fuq Linux l-istess ordni tuża għodda oħra: il-gateway tal-LAN għar-rotta default u l-apparat tat-tunnel għall-prefiss tal-uffiċċju. Il-kmand antik route għadu jaċċetta s-sintassi l-antika, iżda ip route hija l-forma li taqbel mad-dokumentazzjoni attwali.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Meta r-rotta teħtieġ qabża oħra minflok apparat, ħu l-peer mill-output tal-klijent. L-istima tipproduċi waħda minn żewġ żbalji, u dawn ifissru affarijiet differenti: gateway ħażin jagħti network unreachable minnufih, filwaqt li mira tat-tunnel ħażina tagħti timeout. Aqra liema waħda ħadt qabel ma terġa' tbiddel il-kmand.

Prefissi, is-solvatur u d-DMZ li tibqa' mudlama

Prefiss wieħed rari jkopri x-xogħol. Is-servers tal-applikazzjonijiet, in-netwerks tal-ġestjoni, id-DMZ u s-servers DNS infushom jistgħu jkunu kull wieħed f'firxa differenti, għalhekk elenka kull firxa li tista' ssemmi qabel tibda u ttestja tfittxija ħdejn kull ping. Destinazzjoni li tinstab f'nofs it-test hija dik li tinsa fir-rekord tal-bidliet. Rotta li twieġeb bl-indirizz imma tfalli bl-isem ġeneralment hija problema tas-solvatur liebes kostum tar-routing.

Is-solvatur huwa deċiżjoni separata. Meta l-profil bagħat servers DNS interni, it-tneħħija tar-rotta default tista' tħalli dawk l-indirizzi mhux aċċessibbli għal ismijiet pubbliċi jew aċċessibbli biss mit-tunnel, u ż-żewġ stati jipproduċu riżultati parzjali konfużi. Irrotta l-indirizzi tas-solvatur mit-tunnel, jew ikkonfigura riżoluzzjoni skont id-dominju sabiex it-tfittxijiet pubbliċi jużaw is-solvatur lokali.

Il-klijent SSL ta' Linux għandu falliment speċifiku għal qasam li jiswa li tkun taf bih: it-tunnel jikkonnettja, il-LAN tal-uffiċċju jwieġeb, u firxa waħda tad-DMZ tibqa' mudlama. Il-biċċa nieqsa hija rotta għal dik il-firxa mill-gateway tat-tunnel, u l-gateway ivarja bejn magni, allura indirizz hard-coded huwa kif jinqasam il-laptop li jmiss. Derħha mill-istat tal-klijent u żomm il-kmand awtodokumentat:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Aqra ż-żewġ valuri qabel ma tmexxih. peer huwa t-tarf imbiegħed ta' tunnel punt sa punt, u dak huwa l-indirizz li teħtieġ ir-rotta tad-DMZ; fuq tunnel irrotta l-ekwivalenti hija l-interface jew il-gateway li jirrapporta l-klijent. Jekk la wieħed la l-ieħor ma jidher, il-klijent mhuwiex fil-modalità li assumajt.

Wara l-konnessjoni li jmiss, u meta tieqaf tagħmel dan lokalment

FortiClient jerġa' jikkonnettja wara rqad jew bidla fin-netwerk u jerġa' jinstalla dak li jispeċifika l-profil. Ir-rotot manwali għalhekk jgħixu biss sal-konnessjoni li jmiss, u dan huwa eżattament l-intervall li fih test wieħed b'suċċess jista' jidher bħala tiswija. Rotta li tisparixxi bil-lejl hija mġiba mistennija, mhux ħsara ġdida.

Hemm żewġ tweġibiet dejjiema. Skript li jerġa' jmexxi l-korrezzjoni wara kull konnessjoni huwa soluzzjoni temporanja li tista' tgħix itwal mill-awtur tagħha, filwaqt li profil ta' tunnel maqsum mill-amministratur tal-gateway hija t-tiswija vera, għax il-klijent imbagħad jinstalla biss il-firxiet li x-xogħol jeħtieġ. Itlob it-tieni u uża l-ewwel biss waqt li tkun qed tistenna. Iċċekkja wkoll il-politika li aċċettajt qabel ma taqsam tunnel sħiħ lokalment, għax in-netwerk remot jista' jiddependi milli jara t-traffiku kollu tiegħek.

Il-lista ta' kontroll hija qasira: aqra t-tabella, ħassar ir-rotta default tat-tunnel, erġa' stabbilixxi r-rotta default tal-LAN, żid kull prefiss, sewwi r-riżoluzzjoni separatament, u stenna li r-rotot jerġgħu lura mal-konnessjoni mill-ġdid.