Tuneli kamili ya FortiClient: elekeza tu subnet ya ofisi

Tuneli inapanda, ikoni inakuwa kijani na mtandao wa ndani hupotea: vichapishi, NAS na kipanga njia cha ofisi vyote huacha kujibu. FortiClient inafanya kile ambacho wasifu uliomba. Lango lilituma njia ya msingi, mteja aliisakinisha, na kila pakiti sasa ina njia ya kuingia tunelini. Ukarabati ni mabadiliko ya jedwali la njia pamoja na mabadiliko ya DNS nyuma yake, na mpangilio wa mabadiliko hayo huamua kama mashine itaishia vizuri au vibaya.

Mteja alisakinisha nini, na kwa nini LAN ilipotea

Anza kwa kusoma jedwali badala ya kiolesura cha mteja. Kwenye macOS netstat -rn huchapisha jedwali lote na route -n get default hutaja kiolesura na kipimo vinavyoshinda sasa; kwenye Linux jozi ni ip route show na ip route get 8.8.8.8. Vyote viwili hujibu swali moja: ni ingizo gani litabeba pakiti ambayo hailingani na kitu chochote mahususi zaidi.

Jina la kifaa cha tuneli si la kudumu. Wasifu wa IKEv2 kwenye macOS kwa kawaida huonyesha utun na namba, mteja wa SSL VPN huonyesha ppp0, na OpenVPN huonyesha tun0. Njia mbili za msingi zinaweza pia kuwepo kwa wakati mmoja na vipimo tofauti, na ingizo la mteja linaweza kuchukua udhibiti tu baada ya kuunganishwa upya na si wakati inapotokea. Ndiyo sababu nakala mbili za jedwali zilizochukuliwa kwa dakika tano tofauti zinaweza kusimulia hadithi tofauti.

Kwa nini njia ya msingi ya tuneli inapaswa kuondoka kwanza

Kernel huchagua kiambishi kinacholingana kirefu zaidi, na njia kadhaa zinapokuwa mahususi kwa usawa huchagua ile yenye kipimo cha chini. Mteja anayesakinisha 0.0.0.0/0 na kipimo bora kwa hiyo hushinda kila lengwa bila kufuta njia ya msingi ya awali, na ndiyo sababu njia ya kimwili bado iko kwenye jedwali na bado inaeleza usumbufu. Kuondoa njia ya msingi ya tuneli kwanza hurejesha tabia ya awali. Ni baada ya hapo tu njia ya kiambishi kupitia tuneli hufanya kile ambacho mwandishi wake alikusudia.

Kuongeza viambishi kabla ya hatua hiyo ni kosa linalozalisha mashine inayofanya kazi nusu. Trafiki ya kiambishi kipya hufuata tuneli, na kila kitu kisicho kwenye orodha pia hufuata njia ya msingi ya tuneli, kwa hiyo hakuna kitu kinachoonekana kimevunjika hadi mtu afungue huduma ambayo hakuna aliyeyeongeza. Futa, rejesha, kisha ongeza, na hali ya kati inabaki kutarajiwa.

Mpangilio kwenye macOS na Linux

Kwenye macOS mpangilio hufuta njia ya msingi ya tuneli, hurejesha njia ya msingi ya kimwili na kurudisha kiambishi kimoja cha ofisi ndani ya tuneli. Badilisha majina ya kiolesura ya mfano hapa na yale ya jedwali lako mwenyewe.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Kwenye Linux mpangilio huo hutumia zana nyingine: lango la LAN kwa njia ya msingi na kifaa cha tuneli kwa kiambishi cha ofisi. Amri ya zamani route bado inakubali sintaksia ya zamani, lakini ip route ni umbo linalolingana na nyaraka za sasa.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Wakati njia inahitaji kuruka kunakofuata badala ya kifaa, chukua peer kutoka matokeo ya mteja. Kukisia hutoa moja ya makosa mawili, na maana yao ni tofauti: lango lisilo sahihi hutoa network unreachable mara moja, wakati lengo la tuneli lisilo sahihi hutoa muda wa kumalizika. Soma lipi ulilopata kabla ya kubadili amri tena.

Viambishi, kitatuzi na DMZ inayobaki gizani

Kiambishi kimoja mara chache hufunika kazi yote. Seva za programu, mitandao ya usimamizi, DMZ na seva za DNS zenyewe zinaweza kila moja kuwa katika safu tofauti, kwa hiyo orodhesha kila safu unayoweza kuitaja kabla ya kuanza na ujaribu utafutaji kando ya kila ping. Lengwa linalogunduliwa katikati ya jaribio ndilo linalosahaulika katika rekodi ya mabadiliko. Njia inayojibu kwa anwani lakini inashindwa kwa jina kwa kawaida ni tatizo la kitatuzi lililovaa vazi la uelekezaji.

Kitatuzi ni uamuzi tofauti. Wakati wasifu umetuma seva za DNS za ndani, kuondoa njia ya msingi kunaweza kuacha anwani hizo zisifikike kwa majina ya umma au zifikike tu kupitia tuneli, na hali zote mbili hutoa matokeo ya sehemu yanayochanganya. Elekeza anwani za kitatuzi kupitia tuneli, au sanidi utatuzi kwa kila kikoa ili utafutaji wa umma utumie kitatuzi cha ndani.

Mteja wa SSL wa Linux ana hitilafu mahususi ya uwanja ambayo inafaa kuijua: tuneli huunganisha, LAN ya ofisi hujibu, na safu moja ya DMZ inabaki gizani. Kipande kinachokosekana ni njia ya safu hiyo kupitia lango la tuneli, na lango hutofautiana kati ya mashine, kwa hiyo anwani iliyowekwa kwa mkono ndiyo njia ambayo kompyuta ya mkononi inayofuata huvunjika. Iondoe kutoka hali ya mteja na uendelee kuwa amri inayojieleza yenyewe:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Soma thamani mbili kabla ya kuiendesha. peer ni mwisho wa mbali wa tuneli ya hatua-kwa-hatua, na ndiyo anwani ambayo njia ya DMZ inahitaji; kwenye tuneli iliyoelekezwa sawa ni kiolesura au lango ambalo mteja huripoti. Ikiwa hakuna kinachoonekana, mteja hayuko katika hali uliyodhani.

Baada ya muunganisho unaofuata, na wakati wa kuacha kufanya hivi kwa ndani

FortiClient huunganisha upya baada ya usingizi au mabadiliko ya mtandao na husakinisha upya kile wasifu unavyobainisha. Njia za mkono kwa hiyo huishi tu hadi muunganisho unaofuata, na hicho ndicho kipindi ambacho jaribio moja lililofanikiwa linaweza kuonekana kama ukarabati. Njia inayotoweka usiku ni tabia inayotarajiwa, si hitilafu mpya.

Kuna majibu mawili ya kudumu. Skripti inayoendesha tena marekebisho baada ya kila muunganisho ni njia ya kuzunguka ambayo inaweza kuishi zaidi ya mwandishi wake, wakati wasifu wa tuneli iliyogawanywa kutoka kwa msimamizi wa lango ndio ukarabati halisi, kwa sababu mteja husakinisha safu zinazohitajika na kazi pekee. Omba la pili na tumia la kwanza wakati unasubiri tu. Angalia pia sera uliyokubali kabla ya kugawanya tuneli kamili kwa ndani, kwa sababu mtandao wa mbali unaweza kutegemea kuona trafiki yako yote.

Orodha ya ukaguzi ni fupi: soma jedwali, futa njia ya msingi ya tuneli, rejesha njia ya msingi ya LAN, ongeza kila kiambishi, rekebisha utatuzi kwa tofauti, na tarajia njia zitarudi wakati wa kuunganisha upya.