FortiClient పూర్తి టన్నెల్: కార్యాలయ సబ్‌నెట్‌ను మాత్రమే రూట్ చేయండి

టన్నెల్ పైకి వస్తుంది, ఐకాన్ ఆకుపచ్చగా మారుతుంది మరియు స్థానిక నెట్‌వర్క్ అదృశ్యమవుతుంది: ప్రింటర్లు, NAS మరియు కార్యాలయ రౌటర్ అన్నీ స్పందించడం ఆపేస్తాయి. FortiClient ప్రొఫైల్ అడిగినది చేస్తోంది. గేట్‌వే డిఫాల్ట్ రూట్‌ను పంపింది, క్లయింట్ దాన్ని ఇన్‌స్టాల్ చేసింది, ఇప్పుడు ప్రతి ప్యాకెట్‌కు టన్నెల్‌లోకి వెళ్లే మార్గం ఉంది. మరమ్మతు అనేది రూట్ పట్టిక సవరణ మరియు దాని వెనుక DNS సవరణ, మరియు ఆ సవరణల క్రమమే యంత్రం మెరుగ్గా లేదా అధ్వాన్నంగా ముగుస్తుందో నిర్ణయిస్తుంది.

క్లయింట్ ఏమి ఇన్‌స్టాల్ చేసింది, మరియు LAN ఎందుకు అదృశ్యమైంది

క్లయింట్ ఇంటర్‌ఫేస్‌కు బదులుగా పట్టికను చదవడంతో ప్రారంభించండి. macOSలో netstat -rn మొత్తం పట్టికను ప్రింట్ చేస్తుంది మరియు route -n get default ప్రస్తుతం గెలుస్తున్న ఇంటర్‌ఫేస్ మరియు మెట్రిక్‌ను పేర్కొంటుంది; Linuxలో జోడీ ip route show మరియు ip route get 8.8.8.8. రెండూ ఒక ప్రశ్నకు జవాబిస్తాయి: మరింత నిర్దిష్టమైన దేనితోనూ సరిపోలని ప్యాకెట్‌ను ఏ ఎంట్రీ తీసుకెళ్తుంది.

టన్నెల్ పరికరం పేరు స్థిరం కాదు. macOSలో IKEv2 ప్రొఫైల్ సాధారణంగా సంఖ్యతో utun చూపిస్తుంది, SSL VPN క్లయింట్ ppp0 చూపిస్తుంది, OpenVPN tun0 చూపిస్తుంది. వేర్వేరు మెట్రిక్‌లతో రెండు డిఫాల్ట్‌లు ఒకేసారి ఉండవచ్చు, మరియు క్లయింట్ ఎంట్రీ కనిపించిన క్షణంలో కాకుండా మళ్లీ కనెక్ట్ అయిన తర్వాతే నియంత్రణ తీసుకోవచ్చు. అందుకే ఐదు నిమిషాల వ్యవధిలో తీసుకున్న రెండు పట్టిక డంప్‌లు వేర్వేరు కథలు చెప్పగలవు.

టన్నెల్ డిఫాల్ట్ రూట్ మొదట ఎందుకు వెళ్లాలి

కెర్నల్ అత్యంత పొడవైన సరిపోలే ప్రిఫిక్స్‌ను ఎంచుకుంటుంది, అనేక రూట్లు సమానంగా నిర్దిష్టంగా ఉన్నప్పుడు తక్కువ మెట్రిక్ ఉన్నదాన్ని ఎంచుకుంటుంది. కాబట్టి 0.0.0.0/0 మెరుగైన మెట్రిక్‌తో ఇన్‌స్టాల్ చేసే క్లయింట్ అసలు డిఫాల్ట్‌ను తొలగించకుండా ప్రతి గమ్యాన్ని గెలుస్తుంది, అందుకే భౌతిక రూట్ ఇంకా పట్టికలో ఉంది మరియు ఇంకా అంతరాయాన్ని వివరిస్తుంది. టన్నెల్ డిఫాల్ట్ రూట్‌ను మొదట తీసివేస్తే మునుపటి ప్రవర్తన పునరుద్ధరించబడుతుంది. అప్పుడే టన్నెల్ ద్వారా వెళ్లే ప్రిఫిక్స్ రూట్ రచయిత ఉద్దేశించినది చేస్తుంది.

ఆ దశకు ముందు ప్రిఫిక్స్‌లను జోడించడమే సగం పనిచేసే యంత్రాన్ని సృష్టించే పొరపాటు. కొత్త ప్రిఫిక్స్ ట్రాఫిక్ టన్నెల్‌ను అనుసరిస్తుంది, జాబితాలో లేని ప్రతిదీ టన్నెల్ డిఫాల్ట్‌ను కూడా అనుసరిస్తుంది, కాబట్టి ఎవరూ జోడించని సేవను ఎవరైనా తెరిచే వరకు ఏదీ పాడైనట్లు కనిపించదు. తొలగించండి, పునరుద్ధరించండి, తర్వాత జోడించండి, మధ్యస్థ స్థితి అంచనా వేయగలిగినదిగా ఉంటుంది.

macOS మరియు Linuxలో క్రమం

macOSలో ఈ క్రమం టన్నెల్ డిఫాల్ట్ రూట్‌ను తొలగిస్తుంది, భౌతిక డిఫాల్ట్‌ను పునరుద్ధరిస్తుంది మరియు ఒక కార్యాలయ ప్రిఫిక్స్‌ను తిరిగి టన్నెల్‌లోకి పంపుతుంది. ఇక్కడ ఉన్న ఉదాహరణ ఇంటర్‌ఫేస్ పేర్లను మీ స్వంత పట్టికలోని పేర్లతో భర్తీ చేయండి.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Linuxలో అదే క్రమం వేరే సాధనాన్ని ఉపయోగిస్తుంది: డిఫాల్ట్ కోసం LAN గేట్‌వే మరియు కార్యాలయ ప్రిఫిక్స్ కోసం టన్నెల్ పరికరం. పాత route ఆదేశం పాత సింటాక్స్‌ను ఇంకా అంగీకరిస్తుంది, కానీ ప్రస్తుత పత్రాలకు సరిపోయే రూపం ip route.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

రూట్‌కు పరికరం బదులు తదుపరి దూకుడు కావాలంటే, క్లయింట్ అవుట్‌పుట్ నుండి peer తీసుకోండి. ఊహ రెండు లోపాలలో ఒకటి ఇస్తుంది, వాటి అర్థం వేరు: తప్పు గేట్‌వే వెంటనే network unreachable ఇస్తుంది, తప్పు టన్నెల్ లక్ష్యం సమయ ముగింపు ఇస్తుంది. ఆదేశాన్ని మళ్లీ మార్చే ముందు ఏది వచ్చిందో చదవండి.

ప్రిఫిక్స్‌లు, రిజాల్వర్ మరియు చీకటిగా మిగిలే DMZ

ఒక ప్రిఫిక్స్ మొత్తం పనిని అరుదుగా కవర్ చేస్తుంది. అప్లికేషన్ సర్వర్లు, నిర్వహణ నెట్‌వర్క్‌లు, DMZ మరియు DNS సర్వర్లు ప్రతి ఒక్కటి వేరే పరిధిలో ఉండవచ్చు, కాబట్టి ప్రారంభించే ముందు మీరు పేరు పెట్టగల ప్రతి పరిధిని జాబితా చేయండి మరియు ప్రతి ping పక్కన ఒక శోధనను పరీక్షించండి. పరీక్ష మధ్యలో కనుగొన్న గమ్యమే మార్పు రికార్డులో మరచిపోయేది. చిరునామా ప్రకారం సమాధానమిచ్చి పేరు ప్రకారం విఫలమయ్యే రూట్ సాధారణంగా రూటింగ్ దుస్తులలో ఉన్న రిజాల్వర్ సమస్య.

రిజాల్వర్ వేరే నిర్ణయం. ప్రొఫైల్ అంతర్గత DNS సర్వర్లను పంపినప్పుడు, డిఫాల్ట్‌ను తీసివేయడం ఆ చిరునామాలను పబ్లిక్ పేర్లకు అందుబాటులో లేకుండా లేదా టన్నెల్ ద్వారా మాత్రమే అందుబాటులో ఉండేలా వదిలేయవచ్చు, రెండు స్థితులూ గందరగోళమైన పాక్షిక ఫలితాలను ఇస్తాయి. రిజాల్వర్ చిరునామాలను టన్నెల్ ద్వారా రూట్ చేయండి, లేదా డొమైన్ ప్రకారం రిజల్యూషన్‌ను కాన్ఫిగర్ చేసి పబ్లిక్ శోధనలు స్థానిక రిజాల్వర్‌ను ఉపయోగించేలా చేయండి.

Linux SSL క్లయింట్‌లో తెలుసుకోవాల్సిన ఫీల్డ్-నిర్దిష్ట వైఫల్యం ఉంది: టన్నెల్ కనెక్ట్ అవుతుంది, కార్యాలయ LAN స్పందిస్తుంది, ఒక DMZ పరిధి చీకటిగా మిగిలిపోతుంది. మిస్ అయిన భాగం ఆ పరిధి కోసం టన్నెల్ గేట్‌వే ద్వారా వెళ్లే రూట్, గేట్‌వే యంత్రం నుండి యంత్రానికి మారుతుంది, కాబట్టి హార్డ్‌కోడ్ చేసిన చిరునామాయే తదుపరి ల్యాప్‌టాప్ విరిగే విధానం. దాన్ని క్లయింట్ స్థితి నుండి పొంది ఆదేశాన్ని స్వయం-పత్రీకరణగా ఉంచండి:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

అమలు చేయడానికి ముందు రెండు విలువలను చదవండి. peer అనేది పాయింట్-టు-పాయింట్ టన్నెల్ దూరపు చివర, అదే DMZ రూట్‌కు కావాల్సిన చిరునామా; రూట్ చేసిన టన్నెల్‌లో సమానమైనది క్లయింట్ నివేదించే ఇంటర్‌ఫేస్ లేదా గేట్‌వే. రెండూ కనిపించకపోతే, క్లయింట్ మీరు ఊహించిన మోడ్‌లో లేదు.

తదుపరి కనెక్షన్ తర్వాత, మరియు దీన్ని స్థానికంగా ఎప్పుడు ఆపాలి

FortiClient నిద్ర లేదా నెట్‌వర్క్ మార్పు తర్వాత తిరిగి కనెక్ట్ అయి ప్రొఫైల్ నిర్దేశించినది మళ్లీ ఇన్‌స్టాల్ చేస్తుంది. కాబట్టి మాన్యువల్ రూట్లు తదుపరి కనెక్షన్ వరకు మాత్రమే నిలుస్తాయి, ఒక విజయవంతమైన పరీక్ష మరమ్మతులా కనిపించగల విరామం అదే. రాత్రిపూట అదృశ్యమయ్యే రూట్ ఆశించిన ప్రవర్తన, కొత్త లోపం కాదు.

రెండు శాశ్వత సమాధానాలు ఉన్నాయి. ప్రతి కనెక్షన్ తర్వాత సవరణను మళ్లీ నడిపే స్క్రిప్ట్ దాని రచయిత కంటే ఎక్కువ కాలం నిలిచే తాత్కాలిక పరిష్కారం, అయితే గేట్‌వే నిర్వాహకుడి నుండి స్ప్లిట్-టన్నెల్ ప్రొఫైల్‌యే నిజమైన మరమ్మతు, ఎందుకంటే అప్పుడు క్లయింట్ పనికి అవసరమైన పరిధులను మాత్రమే ఇన్‌స్టాల్ చేస్తుంది. రెండవది అడగండి, మొదటిది వేచి ఉన్నప్పుడు మాత్రమే ఉపయోగించండి. స్థానికంగా పూర్తి టన్నెల్‌ను విభజించే ముందు మీరు అంగీకరించిన విధానాన్ని కూడా తనిఖీ చేయండి, ఎందుకంటే దూరపు నెట్‌వర్క్ మీ మొత్తం ట్రాఫిక్‌ను చూడటంపై ఆధారపడి ఉండవచ్చు.

తనిఖీ జాబితా చిన్నది: పట్టిక చదవండి, టన్నెల్ డిఫాల్ట్ రూట్ తొలగించండి, LAN డిఫాల్ట్ రూట్ పునరుద్ధరించండి, ప్రతి ప్రిఫిక్స్ జోడించండి, రిజల్యూషన్‌ను విడిగా సరిచేయండి, మళ్లీ కనెక్ట్ అయినప్పుడు రూట్లు తిరిగి వస్తాయని ఆశించండి.