FortiClient tunnel kikun: darí nẹtiwọọki abẹ́lẹ̀ ọ́fíìsì nìkan

Tunnel náà gbé sókè, àmì náà di àwọ̀ ewé, nẹtiwọọki àdúgbò sì pòórá: àwọn ẹ̀rọ ìtẹ̀wé, NAS àti rota ọ́fíìsì gbogbo wọn dá ìdáhùn. FortiClient ń ṣe ohun tí profáìlì náà béèrè. Gateway náà fi ọ̀nà àkọ́kọ́ ránṣẹ́, kíláìẹ̀nìtì náà gbé e kalẹ̀, àti pé gbogbo pákẹ́ẹ̀tì ní ọ̀nà sínú tunnel báyìí. Àtúnṣe náà ni àtúnṣe tábìlì ọ̀nà pẹ̀lú àtúnṣe DNS lẹ́yìn rẹ̀, àti pé ìlànà àwọn àtúnṣe yẹn ni ó ń pinnu bóyá ẹ̀rọ náà yóò parí dáadáa tàbí burú.

Ohun tí kíláìẹ̀nìtì náà gbé kalẹ̀, àti ìdí tí LAN fi pòórá

Bẹ̀rẹ̀ pẹ̀lú kíkà tábìlì náà dípò ojú-ìwé kíláìẹ̀nìtì náà. Lórí macOS netstat -rn ń tẹ gbogbo tábìlì jáde, route -n get default sì dárúkọ ojú-ìwé àti metric tí ń borí ní báyìí; lórí Linux ẹ̀wẹ̀ ni ip route show àti ip route get 8.8.8.8. Àwọn méjèèjì ń dáhùn ìbéèrè kan: èwo àkọsílẹ̀ ni yóò gbé pákẹ́ẹ̀tì tí kò bá ohunkóhun pàtó pọ̀.

Orúkọ ẹ̀rọ tunnel náà kò dúró sójú kan. Profáìlì IKEv2 lórí macOS máa ń fi utun pẹ̀lú nọ́mbà hàn, kíláìẹ̀nìtì SSL VPN ń fi ppp0 hàn, OpenVPN sì ń fi tun0 hàn. Ọ̀nà àkọ́kọ́ méjì lè wà ní àkókò kan pẹ̀lú metric tí ó yàtọ̀, àkọsílẹ̀ kíláìẹ̀nìtì náà sì lè gba ìṣàkóso lẹ́yìn àtúnsopọ̀ dípò ní àkókò tí ó farahàn. Ìdí niyẹn tí àwọn ìdàpọ̀ tábìlì méjì tí a gbà ní ìṣẹ́jú márùn-ún sáà lè sọ ìtàn ọ̀tọ̀ọ̀tọ̀.

Ìdí tí ọ̀nà àkọ́kọ́ tunnel náà fi gbọ́dọ̀ lọ kọ́kọ́

Kérẹ́ẹ̀lì máa ń yan ìpilẹ̀ tí ó bá pọ̀ jùlọ, àti nígbà tí ọ̀nà púpọ̀ bá pàtó bákan náà yóò yan èyí tí metric rẹ̀ kéré jùlọ. Nítorí náà kíláìẹ̀nìtì tí ó gbé 0.0.0.0/0 kalẹ̀ pẹ̀lú metric tí ó dára jù yóò borí gbogbo ibi-àfọ̀mọ́ láìpa ọ̀nà àkọ́kọ́ àkọ́kọ́ rẹ́, ìdí niyẹn tí ọ̀nà ti ara náà ṣì wà nínú tábìlì tí ó sì ṣì ń ṣàlàyé ìdádúró náà. Yíyọ ọ̀nà àkọ́kọ́ tunnel náà kúrò kọ́kọ́ máa ń dá ìhùwàsí àtẹ̀yìnwá padà. Nígbà náà ni ọ̀nà ìpilẹ̀ tí ó gba inú tunnel máa ń ṣe ohun tí olùkọ̀wé rẹ̀ ní lọ́kàn.

Fífi ìpilẹ̀ kún ṣáájú ìgbésẹ̀ yẹn ni àṣìṣe tí ó ń mú ẹ̀rọ tí ó ń ṣiṣẹ́ ìlàjì jáde. Ìrìnàjò ìpilẹ̀ tuntun náà máa ń tẹ̀lé tunnel, gbogbo ohun tí kò sí nínú àkọsílẹ̀ náà pẹ̀lú máa ń tẹ̀lé ọ̀nà àkọ́kọ́ tunnel, nítorí náà kò sí ohun tí ó dàbí pé ó bàjẹ́ títí ẹnìkan yóò fi ṣí iṣẹ́ kan tí ẹnìkan kò fi kún. Paarẹ́, dá padà, kí o sì fi kún, ipò àárín náà yóò wà ní àfojúsùn.

Ìlànà lórí macOS àti Linux

Lórí macOS ìlànà náà máa ń pa ọ̀nà àkọ́kọ́ tunnel kúrò, máa ń dá ọ̀nà àkọ́kọ́ ti ara padà, ó sì máa ń rán ìpilẹ̀ ọ́fíìsì kan padà sínú tunnel. Rọ́pò àwọn orúkọ ojú-ìwé àpẹẹrẹ níbí pẹ̀lú àwọn tí ó wà nínú tábìlì rẹ.

sudo route delete -net default -interface utun4
sudo route add -net 0.0.0.0 -interface en0
sudo route add -net 10.20.0.0 -netmask 255.255.0.0 -interface utun4

Lórí Linux ìlànà kan náà ń lo irinṣẹ́ mìíràn: gateway LAN fún ọ̀nà àkọ́kọ́ àti ẹ̀rọ tunnel fún ìpilẹ̀ ọ́fíìsì. Àṣẹ route àtijọ́ ṣì ń gba ìlànà àtijọ́, ṣùgbọ́n ip route ni ìrísí tí ó bá àwọn ìwé ìtọ́nisọ́nà lọ́wọ́lọ́wọ́ mu.

sudo ip route del default dev tun0
sudo ip route add default via 192.168.50.1
sudo ip route add 10.20.0.0/16 dev tun0

Nígbà tí ọ̀nà náà bá nílò ìfò mìíràn dípò ẹ̀rọ kan, gba peer láti inú ìjáde kíláìẹ̀nìtì náà. Ìsọtẹ́lẹ̀ máa ń fún ni ní ọ̀kan nínú àṣìṣe méjì, ìtumọ̀ wọn sì yàtọ̀: gateway tí kò tọ́ máa ń fún ni ní network unreachable lẹ́sẹ̀kẹsẹ̀, nígbà tí ibi-àfọ̀mọ́ tunnel tí kò tọ́ máa ń fún ni ní àkókò tí ó parí. Ka èyí tí o rí kí o tó tún àṣẹ náà ṣe.

Ìpilẹ̀, olùyẹ́jáde àti DMZ tí ó ṣì wà ní òkùnkùn

Ìpilẹ̀ kan kì í ṣeé ṣe kí ó bo gbogbo iṣẹ́. Àwọn sáfà ohun-èlò, nẹtiwọọki ìṣàkóso, DMZ àti àwọn sáfà DNS fúnra wọn lè wà ní ibi-ìgbà ọ̀tọ̀ọ̀tọ̀, nítorí náà kọ gbogbo ibi-ìgbà tí o lè dárúkọ ṣáájú kí o tó bẹ̀rẹ̀ kí o sì dán ìwádìí kan wò lẹ́gbẹ̀ẹ́ gbogbo ping. Ibi-àfọ̀mọ́ tí a ṣàwárí ní àárín ìdánwò ni èyí tí a máa ń gbàgbé nínú àkọsílẹ̀ àyípadà. Ọ̀nà tí ó ń dáhùn nípa àdírẹ́sì ṣùgbọ́n tí ó kùnà nípa orúkọ sábà máa ń jẹ́ ìṣòro olùyẹ́jáde tí ó wọ aṣọ ìtọ́jú ọ̀nà.

Olùyẹ́jáde náà jẹ́ ìpinnu ọ̀tọ̀. Nígbà tí profáìlì náà bá ti fi àwọn sáfà DNS inú ránṣẹ́, yíyọ ọ̀nà àkọ́kọ́ kúrò lè fi àwọn àdírẹ́sì yẹn sílẹ̀ láìṣeé dé fún àwọn orúkọ gbangba tàbí kí wọ́n jẹ́ é dé nípasẹ̀ tunnel nìkan, àwọn ipò méjèèjì sì ń mú àbájáde apá kan tí ó dàrú jáde. Darí àwọn àdírẹ́sì olùyẹ́jáde náà nípasẹ̀ tunnel, tàbí ṣètò ìyẹ́jáde fún ẹ̀kọ̀ọ̀kan orúkọ-ìpínlẹ̀ kí àwọn ìwádìí gbangba lè lo olùyẹ́jáde àdúgbò.

Kíláìẹ̀nìtì SSL lórí Linux ní àkùnà àkànṣe pápá kan tí ó yẹ kí a mọ̀: tunnel náà so pọ̀, LAN ọ́fíìsì dáhùn, ṣùgbọ́n ìgbà DMZ kan ṣì wà ní òkùnkùn. Ohun tí ó ṣẹ́ kù ni ọ̀nà fún ìgbà yẹn nípasẹ̀ gateway tunnel, gateway sì yàtọ̀ láàrin àwọn ẹ̀rọ, nítorí náà àdírẹ́sì tí a kọ sílẹ̀ gbágede ni ọ̀nà tí kọ̀mpútà rẹ̀rìkẹ̀ẹ̀rìkẹ̀ tó ń bọ̀ fi ń bàjẹ́. Mú un jáde láti ipò kíláìẹ̀nìtì náà kí o sì jẹ́ kí àṣẹ náà máa ṣàlàyé ara rẹ̀:

PEER=$(ip -4 addr show dev ppp0 | awk '/peer/ {print $4}' | cut -d/ -f1)
sudo ip route add 192.168.30.0/24 via "$PEER"

Ka iye méjèèjì kí o tó ṣe é. peer ni òpin ọ̀nà tunnel orí-ìlà-ọ̀nà, ìyẹn sì ni àdírẹ́sì tí ọ̀nà DMZ nílò; nínú tunnel tí a darí, èyí tí ó dọ́gba ni ojú-ìwé tàbí gateway tí kíláìẹ̀nìtì náà ń ròyìn. Bí èyíkan kò bá farahàn, kíláìẹ̀nìtì náà kò sí ní ipò tí o ro.

Lẹ́yìn ìsopọ̀ tó ń bọ̀, àti ìgbà tí o yẹ kí o dá èyí dúró ní àdúgbò

FortiClient máa ń tún sopọ̀ lẹ́yìn oorun tàbí ìyípadà nẹtiwọọki, ó sì máa ń tún fi ohun tí profáìlì náà ṣàlàyé kalẹ̀. Nítorí náà àwọn ọ̀nà afọwọ́ṣe máa ń wà títí dé ìsopọ̀ tó ń bọ̀, ìyẹn sì ni ààrin tí ìdánwò aṣeyọrí kan lè dàbí àtúnṣe. Ọ̀nà tí ó pòórá lórí alẹ́ jẹ́ ìhùwàsí tí a retí, kì í ṣe àkùnà tuntun.

Ìdáhùn aláìlegbéraga méjì wà. Síkírípìtì tí ó tún àtúnṣe náà ṣiṣẹ́ lẹ́yìn gbogbo ìsopọ̀ jẹ́ ọ̀nà àyíká tí ó lè gbé pẹ́ ju olùkọ̀wé rẹ̀ lọ, nígbà tí profáìlì tunnel pípín láti ọ̀dọ̀ alábòójútó gateway ni àtúnṣe gidi, nítorí nígbà náà kíláìẹ̀nìtì náà máa ń gbé àwọn ìgbà tí iṣẹ́ náà nílò nìkan kalẹ̀. Béèrè fún èyí kejì kí o sì lo èyí kìíní nígbà tí o ń dúró nìkan. Tún ṣàyẹ̀wò ìlànà tí o gbà kí o tó pín tunnel kíkún ní àdúgbò, nítorí pé nẹtiwọọki ọ̀nà jíjìn lè gbára lé rírí gbogbo ìrìnàjò rẹ.

Àkọsílẹ̀ àyẹ̀wò náà kúrú: ka tábìlì, pa ọ̀nà àkọ́kọ́ tunnel kúrò, dá ọ̀nà àkọ́kọ́ LAN padà, fi gbogbo ìpilẹ̀ kún, tún ìyẹ́jáde ṣe lọ́tọ̀, kí o sì retí pé àwọn ọ̀nà yóò padà wá nígbà ìsopọ̀.