Tunnel buuxa ee FortiClient: kaliya shabakadda hoose ee xafiiska u jihee

Tunnel-ku wuu soo baxaa, calaamaddu waxay noqotaa mid cagaar ah oo shabakadda maxalliga ah way lunto: daabacadaha, NAS iyo router-ka xafiisku dhammaantood way joojiyaan jawaabta. FortiClient waxay samaynaysaa wixii borofaylku codsaday. Gateway-gu wuxuu diray waddo caadi ah, macmiilku wuu rakibay, oo baakad kastaa hadda wuxuu leeyahay waddo galaysa tunnel-ka. Dayactirku waa wax ka beddel shaxda waddooyinka oo uu dabagalka DNS ku xigo, iyo nidaamka wax ka beddelladaas ayaa go'aamiya in mishiinku si wanaagsan ama si xun u dhammaan doono.

Waxa uu macmiilku rakibay, iyo sababta LAN u luntay

Ku bilow akhrinta shaxda halkii aad ka akhrin lahayd is-dhexgalka macmiilka. macOS netstat -rn wuxuu daabacaa shaxda oo dhan oo route -n get default wuxuu sheegaa is-dhexgalka iyo cabbirka hadda guuleysta; Linux joodhku waa ip route show iyo ip route get 8.8.8.8. Labaduba waxay ka jawaabaan hal su'aal: gelinta kee ayaa qaadi doonta baakad aan la jaanqaadin wax kasta oo gaar ah.

Magaca qalabka tunnel-ka ma aha mid go'an. Borofaylka IKEv2 ee macOS wuxuu badanaa muujiyaa utun oo leh lambar, macmiilka SSL VPN wuxuu muujiyaa ppp0, OpenVPN-na wuxuu muujiyaa tun0. Laba waddo oo caadi ah ayaa sidoo kale jiri kara isku mar oo leh cabbirro kala duwan, gelinta macmiilka waxaana laga yaabaa inay qabato kaliya dib u xidhka ka dib ee ma aha daqiiqada ay soo baxdo. Taasi waa sababta laba nuqul oo shaxda ah oo shan daqiiqo kala fogi laga qaaday ay u sheegi karaan sheekooyin kala duwan.

Sababta waddada caadiga ah ee tunnel-ku ay tahay inay marka hore baxdo

Kernel-ku wuxuu doortaa horgalaha ugu dheer ee u dhigma, marka dhowr waddo ay isku mid yihiinna wuxuu doortaa tan cabbirkeeda ugu hooseeya. Sidaas darteed macmiilka rakibaya 0.0.0.0/0 oo leh cabbir wanaagsan wuxuu ku guuleystaa meel kasta isagoo aan tirtirin waddada caadiga ah ee asalka ah, taasna waa sababta waddada jirku ay weli ku jirto shaxda oo ay weli sharraxdo hakadka. Ka saarista waddada caadiga ah ee tunnel-ka marka hore waxay soo celisaa habdhaqankii hore. Markaas oo kaliya ayay waddada horgalaha ee tunnel-ka dhex maraysa samaysaa wixii uu qoraagu ula jeeday.

Ku darista horgalayaasha ka hor tallaabadaas waa khaladka soo saara mishiin nus shaqaynaya. Gaadiidka horgalaha cusub wuxuu raacaa tunnel-ka, wax kasta oo aan liiska ku jirinna wuxuu sidoo kale raacaa waddada caadiga ah ee tunnel-ka, sidaas darteed waxba uma muuqdaan inay jajabtay ilaa qof uu furo adeeg aan qofna ku darin. Tir, soo celi, kadib ku dar, oo xaaladda dhexdhexaadka ah waxay ahaanaysaa mid la saadaalin karo.

Nidaamka macOS iyo Linux

macOS nidaamku wuxuu tirtiraa waddada caadiga ah ee tunnel-ka, soo celiyaa waddada caadiga ah ee jirka oo wuxuu hal horgale xafiis ah dib ugu celiyaa tunnel-ka. Ku beddel magacyada is-dhexgalka tusaalaha ah halkan kuwa shaxdaada ah.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Linux isla nidaamkaas wuxuu isticmaalaa qalab kale: gateway-ga LAN ee waddada caadiga ah iyo qalabka tunnel-ka ee horgalaha xafiiska. Amarkii hore route weli wuxuu aqbalaa qaab-dhismeedkii hore, laakiin ip route waa qaabka u dhigma dukumeentiga hadda.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Marka waddadu u baahan tahay boodid xigta halkii qalab, ka qaado peer-ka soo-saarka macmiilka. Qiyaastu waxay soo saartaa mid ka mid ah laba khalad, oo macnahoodu waa kala duwan yahay: gateway khaldan wuxuu isla markiiba bixiyaa network unreachable, halka bartilmaameed tunnel khaldan uu bixiyo waqti dhammaad. Akhri midda aad heshay ka hor inta aadan amarka mar kale beddelin.

Horgalayaasha, xalliyaha iyo DMZ-ga mugdiga ah ee sii ahaanaya

Hal horgale ayaa dhif ah inuu daboolo shaqada oo dhan. Server-yada codsiyada, shabakadaha maamulka, DMZ iyo server-yada DNS laftoodu mid kastaa wuxuu ku noqon karaa xad kale, sidaas darteed liis garay xad kasta oo aad magacaabi karto ka hor inta aadan bilaabin oo tijaabi raadin ping kasta barbarkiisa. Bartilmaameedka la helay bartamaha tijaabada waa kan lagu iloobay diiwaanka isbeddelka. Waddada ku jawaabta cinwaanka laakiin ku guuldareysata magaca badanaa waa dhibaato xalliyaha oo qaba labbiska jiheynta.

Xalliyuhu waa go'aan gaar ah. Marka borofaylku diray server-yo DNS gudaha ah, ka saarista waddada caadiga ah waxay uga tagi kartaa cinwaannadaas aan la gaari karin magacyada guud ama la gaari karo oo kaliya tunnel-ka, labada xaaladoodna waxay bixiyaan natiijooyin qayb ah oo jahwareer leh. Jihee cinwaannada xalliyaha tunnel-ka, ama habee xallin domain kasta si raadinta guud ay u isticmaasho xalliyaha maxalliga ah.

Macmiilka SSL ee Linux wuxuu leeyahay guuldarro gaar u ah goob ay mudan tahay in la ogaado: tunnel-ku wuu xidhmaa, LAN-ka xafiisku wuu jawaabaa, oo hal xad DMZ ah wuu mugdi ahaanayaa. Qaybta maqan waa waddo loogu talagalay xadkaas oo maraysa gateway-ga tunnel-ka, gateway-na wuu ku kala duwan yahay mishiin kasta, sidaas darteed cinwaan si adag loo qoray waa sida laptop-ka xiga u jabayo. Ka soo saar xaaladda macmiilka oo amarka ku hay is-dokumentaysan:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Akhri labada qiime ka hor inta aadan socodsiiin. peer waa cidhifka fog ee tunnel dhibic-ilaa-dhibic, waana cinwaanka ay u baahan tahay waddada DMZ; tunnel la jiheeyay ekwivalentigiisu waa is-dhexgalka ama gateway-ga uu macmiilku soo sheego. Haddii midkoodna aanu soo bixin, macmiilku kuma jiro habka aad u qabatay.

Ka dib xidhka xiga, iyo goorta aad joojiso inaad tan maxalli ahaan sameyso

FortiClient wuxuu dib u xidhmaa ka dib hurdo ama isbeddel shabakadeed oo wuxuu dib u rakibaa wixii borofaylku qeexay. Sidaas darteed waddooyinka gacanta lagu sameeyay waxay ku noolaadaan oo kaliya ilaa xidhka xiga, taasna waa bartamaha tijaabo guulaysata ay u ekaan karto dayactir. Waddo habeenkii luntay waa habdhaqan la filayay, ma aha cilad cusub.

Waxaa jira laba jawaab oo waara. Qoraal dib u socodsiiya sixitaanka ka dib xidh kasta waa xal ku meel gaar ah oo ka cimri dheer qoraagiisa, halka borofayl tunnel kala qaybsan oo ka yimaada maamulaha gateway-ga uu yahay sixitaanka dhabta ah, sababtoo ah markaas macmiilku wuxuu rakibaa oo kaliya xadadka shaqadu u baahan tahay. Weydii tan labaad oo tan hore isticmaal oo kaliya inta aad sugayso. Sidoo kale hubi siyaasadda aad ogolaatay ka hor inta aadan maxalli ahaan kala qaybin tunnel buuxa, sababtoo ah shabakadda fog waxaa laga yaabaa inay ku tiirsan tahay inay aragto dhammaan gaadiidkaaga.

Liiska hubintu waa gaaban: akhri shaxda, tirtir waddada caadiga ah ee tunnel-ka, soo celi waddada caadiga ah ee LAN, ku dar horgale kasta, si gooni ah u hagaaji xallinta, oo filo in waddooyinku dib u soo noqdaan marka dib loo xidhmo.