Tuneli i plotë i FortiClient: drejto vetëm nënrrjetin e zyrës

Tuneli ngrihet, ikona bëhet e gjelbër dhe rrjeti lokal zhduket: printerat, NAS-i dhe routeri i zyrës ndalojnë së përgjigjuri. FortiClient po bën atë që kërkoi profili. Porta dërgoi një rrugë të paracaktuar, klienti e instaloi atë, dhe tani çdo paketë ka një rrugë brenda tunelit. Rregullimi është një ndryshim i tabelës së rrugëve me një ndryshim DNS pas tij, dhe rendi i këtyre ndryshimeve vendos nëse makina përfundon më mirë apo më keq.

Çfarë instaloi klienti dhe pse u zhduk LAN-i

Filloni duke lexuar tabelën në vend të ndërfaqes së klientit. Në macOS netstat -rn shtyp të gjithë tabelën dhe route -n get default emërton ndërfaqen dhe metrikën që po fitojnë tani; në Linux çifti është ip route show dhe ip route get 8.8.8.8. Të dyja përgjigjen një pyetjeje: cila hyrje do të mbajë një paketë që nuk përputhet me asgjë më të saktë.

Emri i pajisjes së tunelit nuk është i fiksuar. Një profil IKEv2 në macOS zakonisht shfaq utun me një numër, klienti SSL VPN shfaq ppp0, dhe OpenVPN shfaq tun0. Dy rrugë të paracaktuara mund të jenë të pranishme edhe njëkohësisht me metrika të ndryshme, dhe hyrja e klientit mund të marrë kontrollin vetëm pas një rilidhjeje dhe jo në momentin kur shfaqet. Kjo është arsyeja pse dy nxjerrje të tabelës të marra pesë minuta larg mund të tregojnë histori të ndryshme.

Pse rruga e paracaktuar e tunelit duhet të largohet e para

Bërthama zgjedh prefiksin më të gjatë që përputhet, dhe kur disa rrugë janë njësoj të sakta zgjedh atë me metrikën më të ulët. Një klient që instalon 0.0.0.0/0 me një metrikë më të mirë fiton pra çdo destinacion pa fshirë rrugën e paracaktuar origjinale, dhe kjo është arsyeja pse rruga fizike është ende në tabelë dhe ende shpjegon ndërprerjen. Heqja e parë e rrugës së paracaktuar të tunelit rikthen sjelljen e mëparshme. Vetëm atëherë një rrugë prefiksi përmes tunelit bën atë që synonte autori i saj.

Shtimi i prefikseve para atij hapi është gabimi që prodhon një makinë gjysmë funksionale. Trafiku për prefiksin e ri ndjek tunelin, dhe gjithçka që nuk është në listë ndjek gjithashtu rrugën e paracaktuar të tunelit, kështu që asgjë nuk duket e prishur derisa dikush hap një shërbim që askush nuk e shtoi. Fshini, riktheni dhe pastaj shtoni, dhe gjendja e ndërmjetme mbetet e parashikueshme.

Sekuenca në macOS dhe në Linux

Në macOS sekuenca fshin rrugën e paracaktuar të tunelit, rikthen rrugën e paracaktuar fizike dhe kthen një prefiks zyre në tunel. Zëvendësoni emrat ilustrues të ndërfaqeve këtu me ata nga tabela juaj.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Në Linux i njëjti rend përdor një mjet tjetër: portën e LAN-it për rrugën e paracaktuar dhe pajisjen e tunelit për prefiksin e zyrës. Komanda e vjetër route pranon ende sintaksën e vjetër, por ip route është forma që përputhet me dokumentacionin aktual.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Kur rruga ka nevojë për një kërcim tjetër në vend të një pajisjeje, merrni peer-in nga dalja e klientit. Hamendja prodhon një nga dy gabime, dhe ato nënkuptojnë gjëra të ndryshme: një portë e gabuar jep menjëherë network unreachable, ndërsa një objektiv tuneli i gabuar jep një afat kohor. Lexoni cilën morët përpara se të ndryshoni përsëri komandën.

Prefikset, zgjidhësi dhe DMZ-ja që mbetet e errët

Një prefiks rrallë mbulon gjithë punën. Serverat e aplikacioneve, rrjetet e menaxhimit, DMZ-ja dhe vetë serverat DNS mund të jenë secili në një interval tjetër, prandaj listoni çdo interval që mund të emërtoni përpara se të filloni dhe provoni një kërkim pranë çdo ping. Një destinacion i zbuluar në mes të testit është ai që harrohet në regjistrin e ndryshimeve. Një rrugë që përgjigjet sipas adresës por dështon sipas emrit është zakonisht një problem i zgjidhësit me kostum rrugëtimi.

Zgjidhësi është një vendim i veçantë. Kur profili ka dërguar servera DNS të brendshëm, heqja e rrugës së paracaktuar mund t'i lërë këto adresa të paarritshme për emrat publikë ose të arritshme vetëm përmes tunelit, dhe të dyja gjendjet prodhojnë rezultate të pjesshme konfuze. Drejtoni adresat e zgjidhësit përmes tunelit, ose konfiguroni zgjidhjen sipas domenit, që kërkimet publike të përdorin zgjidhësin lokal.

Klienti SSL i Linux-it ka një dështim specifik për një fushë që ia vlen ta njihni: tuneli lidhet, LAN-i i zyrës përgjigjet dhe një interval DMZ mbetet i errët. Pjesa që mungon është një rrugë për atë interval përmes portës së tunelit, dhe porta ndryshon midis makinave, prandaj një adresë e koduar fort është mënyra se si thyhet laptopi i radhës. Nxirreni nga gjendja e klientit dhe mbajeni komandën vetëdokumentuese:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Lexoni dy vlerat përpara se ta ekzekutoni. peer është skaji i largët i një tuneli pikë-për-pikë, dhe kjo është adresa që i nevojitet rrugës DMZ; në një tunel të rrugëtuar ekuivalenti është ndërfaqja ose porta që raporton klienti. Nëse nuk shfaqet asnjëra, klienti nuk është në modalitetin që supozuat.

Pas lidhjes tjetër, dhe kur të ndaloni së bëri këtë lokalisht

FortiClient rilidhet pas një gjumi ose një ndryshimi rrjeti dhe reinstalon çfarë specifikon profili. Rrugët manuale mbijetojnë pra vetëm deri në lidhjen tjetër, dhe ky është pikërisht intervali në të cilin një test i vetëm i suksesshëm mund të duket si rregullim. Një rrugë që zhduket natën është sjellje e pritur, jo një defekt i ri.

Ekzistojnë dy përgjigje të qëndrueshme. Një skript që ekzekuton përsëri korrigjimin pas çdo lidhjeje është një zgjidhje e përkohshme që mund t'i mbijetojë autorit të saj, ndërsa një profil tuneli i ndarë nga administratori i portës është rregullimi i vërtetë, sepse atëherë klienti instalon vetëm intervalet që i nevojiten punës. Kërkoni të dytin dhe përdorni të parin vetëm ndërsa prisni. Kontrolloni gjithashtu politikën që keni pranuar përpara se të ndani lokalisht një tunel të plotë, sepse rrjeti i largët mund të mbështetet në faktin që sheh gjithë trafikun tuaj.

Lista e kontrollit është e shkurtër: lexoni tabelën, fshini rrugën e paracaktuar të tunelit, riktheni rrugën e paracaktuar të LAN-it, shtoni çdo prefiks, rregulloni zgjidhjen veçmas dhe prisni që rrugët të kthehen në rilidhje.