FortiClient plný tunel: smerujte len kancelársku podsieti

Tunel sa zdvihne, ikona zmení farbu na zelenú a miestna sieť zmizne: tlačiarne, NAS aj kancelársky router prestanú odpovedať. FortiClient robí to, čo profil žiadal. Brána poslala predvolenú trasu, klient ju nainštaloval a každý paket má teraz cestu do tunela. Oprava je úprava smerovacej tabuľky a za ňou úprava DNS, a poradie týchto úprav rozhoduje, či z toho stroj vyjde lepšie, alebo horšie.

Čo klient nainštaloval a prečo LAN zmizla

Začnite čítaním tabuľky namiesto rozhrania klienta. V macOS netstat -rn vypíše celú tabuľku a route -n get default pomenuje rozhranie a metriku, ktoré práve vyhrávajú; v Linuxe je dvojica ip route show a ip route get 8.8.8.8. Obe odpovedajú na jednu otázku: ktorý záznam ponesie paket, ktorý nezodpovedá ničomu konkrétnejšiemu.

Názov tunelového zariadenia nie je pevný. Profil IKEv2 v macOS zvyčajne zobrazuje utun s číslom, klient SSL VPN zobrazuje ppp0 a OpenVPN zobrazuje tun0. Prítomné môžu byť súčasne aj dve predvolené trasy s rôznymi metrikami a klientsky záznam sa môže ujať až po opätovnom pripojení, nie v okamihu, keď sa objaví. Preto dva výpisy tabuľky urobené päť minút po sebe môžu rozprávať rôzne príbehy.

Prečo musí tunelová predvolená trasa odísť prvá

Jadro vyberá najdlhší zodpovedajúci prefix a keď je niekoľko trás rovnako konkrétnych, vyberie tú s najnižšou metrikou. Klient, ktorý nainštaluje 0.0.0.0/0 s lepšou metrikou, preto vyhrá každé cieľové umiestnenie bez vymazania pôvodnej predvolenej trasy, a preto je fyzická trasa stále v tabuľke a stále vysvetľuje výpadok. Odobratie tunelovej predvolenej trasy ako prvé obnoví predchádzajúce správanie. Až potom prefixová trasa tunelom robí to, čo jej autor zamýšľal.

Pridanie prefixov pred týmto krokom je chyba, ktorá vytvorí napoly fungujúci stroj. Premávka pre nový prefix ide tunelom a všetko neuvedené ide tiež tunelovou predvolenou trasou, takže nič nevyzerá pokazené, kým niekto neotvorí službu, ktorú nikto nepridal. Vymažte, obnovte, potom pridajte a medzistav zostane predvídateľný.

Poradie v macOS a v Linuxe

V macOS poradie vymaže tunelovú predvolenú trasu, obnoví fyzickú predvolenú trasu a pošle jeden kancelársky prefix späť do tunela. Nahraďte ilustratívne názvy rozhraní tu tými zo svojej tabuľky.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

V Linuxe to isté poradie používa iný nástroj: bránu LAN pre predvolenú trasu a tunelové zariadenie pre kancelársky prefix. Starý príkaz route stále prijíma starú syntax, ale ip route je forma, ktorá zodpovedá súčasnej dokumentácii.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Keď trasa potrebuje ďalší skok namiesto zariadenia, vezmite peer z výstupu klienta. Hádanie dáva jednu z dvoch chýb a tie znamenajú rôzne veci: nesprávna brána dá okamžite network unreachable, zatiaľ čo nesprávny cieľ tunela dá vypršanie času. Prečítajte si, ktorú ste dostali, skôr než príkaz znovu zmeníte.

Prefixy, resolver a DMZ, ktorá zostáva tmavá

Jeden prefix prácu pokryje málokedy. Aplikačné servery, správne siete, DMZ aj samotné servery DNS môžu byť každý v inom rozsahu, preto pred začiatkom vypíšte každý rozsah, ktorý viete pomenovať, a pri každom ping otestujte dopyt. Cieľ objavený počas testu je ten, na ktorý sa v zázname zmien zabudne. Trasa, ktorá odpovedá podľa adresy, ale zlyháva podľa mena, býva problém resolvera v kostýme smerovania.

Resolver je samostatné rozhodnutie. Keď profil poslal interné servery DNS, odobratie predvolenej trasy môže tieto adresy nechať nedostupné pre verejné mená alebo dostupné len tunelom, a oba stavy dávajú mätúce čiastočné výsledky. Nasmerujte adresy resolvera tunelom alebo nastavte preklad po doménach, aby verejné dopyty používali miestny resolver.

Linuxový klient SSL má zlyhanie špecifické pre pole, ktoré stojí za to poznať: tunel sa pripojí, kancelárska LAN odpovedá a jeden rozsah DMZ zostáva tmavý. Chýbajúcim dielom je trasa pre tento rozsah cez tunelovú bránu, a brána sa medzi strojmi líši, takže natvrdo zadaná adresa je spôsob, akým sa rozbije ďalší notebook. Odvoďte ju zo stavu klienta a nechajte príkaz samodokumentujúci:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Prečítajte si obe hodnoty, skôr než ho spustíte. peer je vzdialený koniec tunela bod-bod, a to je adresa, ktorú trasa DMZ potrebuje; pri smerovanom tuneli je ekvivalentom rozhranie alebo brána, ktorú klient hlási. Ak sa neobjaví ani jedno, klient nie je v režime, ktorý predpokladáte.

Po ďalšom pripojení a kedy to miestne prestať robiť

FortiClient sa po spánku alebo zmene siete pripojí znova a znova nainštaluje to, čo profil určuje. Ručné trasy preto prežijú len do ďalšieho pripojenia, a to je presne interval, v ktorom sa jeden úspešný test môže javiť ako oprava. Trasa, ktorá cez noc zmizne, je očakávané správanie, nie nová porucha.

Existujú dve trvalé odpovede. Skript, ktorý opravu spúšťa po každom pripojení, je obchvat, ktorý môže prežiť svojho autora, zatiaľ čo profil s rozdeleným tunelom od správcu brány je skutočná oprava, pretože potom klient inštaluje len rozsahy, ktoré práca potrebuje. Žiadajte druhé a prvé používajte len počas čakania. Pred miestnym rozdelením plného tunela si tiež skontrolujte zásady, s ktorými ste súhlasili, pretože vzdialená sieť sa môže spoliehať na to, že vidí všetku vašu premávku.

Kontrolný zoznam je krátky: prečítajte tabuľku, vymažte tunelovú predvolenú trasu, obnovte predvolenú trasu LAN, pridajte každý prefix, opravte preklad osobitne a očakávajte, že sa trasy pri opätovnom pripojení vrátia.