FortiClient بشپړ تونل: یوازې د دفتر فرعي شبکه روټ کړئ

تونل پورته کېږي، آیکون شنه کېږي او محلي شبکه ورکېږي: چاپګر، NAS او د دفتر روټر ټول ځواب ورکول بندوي. FortiClient هغه کار کوي چې پروفایل غوښتی. ګېټوې ډیفالټ روټ ولېږه، کلاینټ هغه نصب کړ، او اوس هر پاکټ تونل ته د ننوتلو لاره لري. ترمیم د روټ جدول سمون دی او د هغې شاته د DNS سمون، او د دې سمونونو ترتیب هغه څه دی چې ټاکي ماشین به ښه یا بد ووځي.

کلاینټ څه نصب کړل، او LAN ولې ورک شو

د کلاینټ انټرفیس پرځای د جدول لوستلو سره پیل وکړئ. په macOS کې netstat -rn ټول جدول چاپوي او route -n get default هغه انټرفیس او میټریک نوموي چې اوس بریالي دي؛ په Linux کې جوړه ip route show او ip route get 8.8.8.8 ده. دواړه یوې پوښتنې ته ځواب ورکوي: کومه ننوتنه به هغه پاکټ یوسي چې له بل څه ډېر ځانګړي سره سمون نه لري.

د تونل وسیلې نوم ثابت نه دی. په macOS کې د IKEv2 پروفایل معمولاً د شمېرې سره utun ښیي، د SSL VPN کلاینټ ppp0 ښیي، او OpenVPN tun0 ښیي. دوه ډیفالټ روټونه کولی شي په یو وخت کې د بېلو میټریکونو سره هم وي، او د کلاینټ ننوتنه ممکن د ښکارېدو په شیبه نه، بلکې د بیا نښلېدو وروسته کنټرول واخلي. نو ځکه د پنځو دقیقو په توپیر اخیستل شوي دوه جدول ډمپونه بېلې کیسې کولی شي.

ولې د تونل ډیفالټ روټ باید لومړی لاړ شي

کرنل ترټولو اوږد سمون خوړونکی مخکښ غوره کوي، او کله چې څو روټونه یو شان ځانګړي وي هغه غوره کوي چې ترټولو ټیټ میټریک لري. نو ځکه هغه کلاینټ چې 0.0.0.0/0 په ښه میټریک نصبوي هر هدف ګټي پرته له دې چې اصلي ډیفالټ حذف کړي، او نو ځکه فزیکي روټ لا هم په جدول کې دی او لا هم د خنډ توضیح کوي. د تونل ډیفالټ روټ لومړی لرې کول پخوانی چلند بیا راولي. یوازې له هغې وروسته د تونل له لارې مخکښ روټ هغه څه کوي چې لیکوال یې په نظر کې درلودل.

د هغې مرحلې دمخه مخکښونه اضافه کول هغه غلطي ده چې نیمګړی ماشین جوړوي. د نوي مخکښ ترافیک تونل تعقیبوي، او هر هغه څه چې په لیست کې نه وي هم د تونل ډیفالټ تعقیبوي، نو ځکه تر هغې چې څوک داسې خدمت پرانیزي چې چا نه دی اضافه کړی، هیچا ته مات ښکاره نه شي. حذف کړئ، بیا ورغوئ، بیا اضافه کړئ، او منځنی حالت وړاندوینه کېدونکی پاتې کېږي.

په macOS او Linux کې ترتیب

په macOS کې دا ترتیب د تونل ډیفالټ روټ حذفوي، فزیکي ډیفالټ روټ بیا راولي او یو دفتر مخکښ بیرته تونل ته لېږي. دلته ورکړل شوي بېلګې انټرفیس نومونه د خپل جدول له نومونو سره بدل کړئ.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

په Linux کې همدا ترتیب بل اوزار کاروي: د ډیفالټ لپاره د LAN ګېټوې او د دفتر مخکښ لپاره د تونل وسیله. زوړ route امر لا هم زوړ سینټکس مني، خو ip route هغه بڼه ده چې له اوسني اسنادو سره سمون لري.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

کله چې روټ وسیلې پرځای بل ټوپ ته اړتیا ولري، peer د کلاینټ له وتنې واخلئ. اټکل د دوو غلطیو یوه ورکوي، او د دوی مانا بېله ده: غلط ګېټوې سمدلاسه network unreachable ورکوي، خو غلط تونل هدف د وخت پای ورکوي. د امر بیا بدلولو دمخه ولولئ کومه مو ترلاسه کړه.

مخکښونه، حل کوونکی او هغه DMZ چې تیاره پاتې کېږي

یو مخکښ په ندرت سره ټول کار پوښي. د اپلیکیشن سرورونه، د مدیریت شبکې، DMZ او پخپله DNS سرورونه کولی شي هر یو په بېل حد کې وي، نو ځکه له پیل دمخه هرهغه حد چې نومولای شئ لیست کړئ او د هر ping ترڅنګ یوه پلټنه وازمایاست. هغه هدف چې د ازموینې په منځ کې وموندل شي هغه دی چې په بدلون ریکارډ کې هېرېږي. هغه روټ چې په پته ځواب ورکوي خو په نوم ناکامېږي معمولاً د روټینګ کالي په اغوستې حل کوونکي ستونزه ده.

حل کوونکی جلا پرېکړه ده. کله چې پروفایل داخلي DNS سرورونه لېږلي وي، د ډیفالټ لرې کول کولی شي هغه پتې د عامو نومونو لپاره نه رسېدونکي یا یوازې د تونل له لارې رسېدونکي پرېږدي، او دواړه حالتونه ګډوډ نیمګړي پایلې ورکوي. د حل کوونکي پتې د تونل له لارې روټ کړئ، یا د هر ډومین لپاره حل تنظیم کړئ ترڅو عامې پلټنې سیمه ایز حل کوونکی وکاروي.

په Linux SSL کلاینټ کې د ساحې ځانګړې ناکامي ده چې پوهېدل یې ارزښت لري: تونل نښلول کېږي، د دفتر LAN ځواب ورکوي، او یوه DMZ ساحه تیاره پاتې کېږي. ورکه برخه د هغې ساحې لپاره د تونل ګېټوې له لارې روټ دی، او ګېټوې له ماشین څخه ماشین ته بدلېږي، نو ځکه سخت کوډ شوی پته هغه لاره ده چې بل لپ ټاپ ماتېږي. دا د کلاینټ له حالت څخه راوباسئ او امر په خپله اسنادي بڼه وساتئ:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

له چلولو دمخه دواړه ارزښتونه ولولئ. peer د نقطه-تر-نقطې تونل لرې سر دی، او هماغه پته ده چې DMZ روټ ته اړینه ده؛ په روټ شوي تونل کې معادل هغه انټرفیس یا ګېټوې ده چې کلاینټ راپور ورکوي. که دواړه ونه لیدل شي، کلاینټ په هغه حالت کې نه دی چې تاسو فرض کړی و.

له بلې نښلونې وروسته، او کله چې دا په سیمه ایزه توګه بند کړئ

FortiClient له خوب یا د شبکې له بدلون وروسته بیا نښلېږي او هغه څه بیا نصبوي چې پروفایل یې ټاکي. نو ځکه لاسي روټونه یوازې تر بلې نښلونې پورې ژوندي پاتې کېږي، او دا هغه وقفه ده چې یوه بریالۍ ازموینه پکې د ترمیم په څېر ښکارېدلای شي. هغه روټ چې شپه کې ورک شي تمه کېدونکی چلند دی، نه نوی خرابي.

دوه دوامداره ځوابونه شته. هغه سکریپټ چې له هرې نښلونې وروسته ترمیم بیا چلوي یو لنډمهاله حل دی چې کېدای شي د خپل لیکوال څخه اوږد ژوند وکړي، خو د ګېټوې له مدیر څخه ویشل شوی تونل پروفایل اصلي ترمیم دی، ځکه چې بیا کلاینټ یوازې هغه ساحې نصبوي چې کار ورته اړتیا لري. دوهم وغواړئ او لومړی یوازې د انتظار پر مهال وکاروئ. د بشپړ تونل د سیمه ایز ویشلو دمخه هغه تګلاره هم وګورئ چې مو منلې وه، ځکه لرې شبکه ممکن ستاسو په ټول ترافیک د لیدلو تکیه ولري.

د ازموینې لیست لنډ دی: جدول ولولئ، د تونل ډیفالټ روټ حذف کړئ، د LAN ډیفالټ روټ بیا ورغوئ، هر مخکښ اضافه کړئ، حل په جلا توګه سم کړئ، او تمه وکړئ چې په بیا نښلېدو روټونه بېرته راشي.