ジュニパーネットワーククライアントにスプリットルーティングを使用させる

8

OSX用ジュニパークライアント（「ネットワークコネクト」）を使用してクライアントのVPNにアクセスしています。クライアントは分割ルーティングを使用しないように構成されているようです。クライアントのVPNホストは、分割ルーティングを有効にする用意がありません。

この構成を上書きしたり、ワークステーションでクライアント以外のネットワークトラフィックにVPNをバイパスさせたりする方法はありますか？これは大した問題ではありませんが、私のストリーミングラジオ局（XMなど）はVPNに接続されません。

用語の誤りについての謝罪。

**編集**

Juniperクライアントは、システムのresolve.confファイルを次のように変更します。

nameserver 192.168.0.1

に：

search XXX.com [redacted]
nameserver 10.30.16.140
nameserver 10.30.8.140

優先DNSエントリをファイルに復元しようとしました

$ sudo echo "nameserver 192.168.0.1" >> /etc/resolv.conf

ただし、これにより次のエラーが発生します。

-bash: /etc/resolv.conf: Permission denied

スーパーユーザーアカウントがこのファイルにアクセスできないのはなぜですか？Juniperクライアントがこのファイルを変更できないようにする方法はありますか？

— クライバック
ソース

3

許可の問題についてMarcusは答えは正しいですが、スーパーユーザー権限を必要とするファイルに追加する簡単な方法があります。

$ echo "nameserver 192.168.0.1" | sudo tee -a /etc/resolv.conf

teeコマンドは、出力（Tジャンクションのような）をファイルとstdoutの両方に分割します。-aは、ファイルを完全に上書きするのではなく、ファイルに追加することを確認します（resolve.confやホストなどのシステムファイルを操作する場合は、ファイルを上書きしたくない場合がほとんどです）。sudoは、ファイルを変更できるように、Teeがスーパーユーザーアクセスで実行されることを確認します。

— ガブリエルフ
ソース

++はsudo teeアプローチですが、この手法はVPNクライアントのDNSリゾルバー設定を上書きしません。/etc/resolve.confOSX上で次の警告が含まれています：

# This file is not used by the host name and address resolution # or the DNS query routing mechanisms used by most processes on # this Mac OS X system.

— mklement

2

問題は、この行でrootとして実行されるものだと思います：

sudo echo "nameserver 192.168.0.1" >> /etc/resolv.conf

「echo」コマンドのみがrootとして実行され、出力を書き込むファイルは通常のユーザーで行われます-通常、/ etc / resolv.confへのアクセス権はありません。

この方法で実行してみてください：

sudo su
echo "nameserver 192.168.0.1" >> /etc/resolv.conf
exit

— マーカス
ソース

2

彼らがすでにあなたに説明したように、問題はポリシーがクライアント側で実施されるがサーバー側で設定されるということです。これはセキュリティ機能であり、これにより、接続しているネットワークが、クライアントが安全でないネットワークと安全なネットワークを「ブリッジ」することを回避できます。

唯一の方法は、サーバー側のコマンドに従わないようにクライアントを「ハッキング」することです。

あなたはウェブベースで見つけることができるチュートリアルがあります（http://www.digitalinternals.com/network/workaround-juniper-junos-pulse-split-tunneling-restriction/447/）これはWindowsベースですが、実際にはツールが必要ですPulseバイナリにパッチを適用するためのIDA Proやアセンブリ言語のスキルなど。これはまた、いくつかの国では違法と見なすことができます。

基本的に、クライアントに宛先ネットワークを完全にルーティングさせるとユーザーエクスペリエンスが低下する可能性がありますが、これによりネットワーク管理者はネットワークをより安全に保つことができるため、これを行わないでください。

お役に立てれば。

— マルコ・エルミニ
ソース

これはMacとLinuxでも機能します。

— Pepijn、2016年

1

ポリシーはサーバーから強制的にダウンされていると思います。ジュニパーのVPNクライアントソフトウェアを何らかの方法でハッキングしない限り、指示されたルーティングを使用する必要があります。

VPNソフトウェア機能セットの一部であり、クライアントにセキュリティポリシーを適用できます。

— コープス
ソース

これは本当だと思いますが、ルーティングの低レベルのオーバーライドを望んでいました。

— craibuc

静的ルートを作成することでこの問題を解決できますか：Leopard Static Routes？

— craibuc 2011年

私はそうは思いません。

— ベンキャンベル、

1

これを防ぐ唯一の方法は、接続しないことです。これは、バックエンドジュニパーアプライアンスに組み込まれているセキュリティ機能です。起動するジュニパークライアントは、クライアント会社で機能するジュニパー/ネットワーク管理者によって構成されたポリシーを適用するだけです。スプリットトンネリングを許可するようにジュニパーアプライアンスを構成するのは非常に簡単です。構成されていない場合、それは見落としまたは選択のいずれかです。有効にするように依頼します。できない、またはできない場合は、セキュリティポリシーです。公正な警告：ポリシーがクライアントとの行動規範に違反することを回避または悪用する方法（クライアントがオンライン使用ポリシーを持っている場合）、多くの場合犯罪者と見なすことができます。また、リモートユーザーからネットワークに組み込もうとしたセキュリティを破壊することもできます。

この方法で閲覧するのは非常に遅いことを知っています。ストリーミングビデオは特に楽しいだけでなく、すべてのステップがジュニパーアプライアンスに記録されます。それはクライアントの帯域幅にも本当に害を及ぼします。なぜなら、ネットワークに出入りする人身売買を再ルーティングするだけで、リソースから何回かバイトを奪うからです。

— ベン・キャンベル
ソース

1

仮想マシンからvpnクライアントを起動します...voilà。もちろん、仮想マシンから作業する必要があります。

— ルカ
ソース

0

私はあなたの質問を理解したいと思います。あなたはクライアントへのVPNですが、XMや他のサイトにアクセスできません。これは、エンドのWebフィルターが原因である可能性があります。オプションがある場合は、VPNクライアントでローカルLANアクセスを有効にすることをお勧めします。これで問題が解決する場合があります。

— Split71
ソース

このタイプのオプションは存在しません。

— craibuc

さて、あなたが押し出されているポリシーが何であれ、それを使用せざるを得ないかもしれません。特にそれがネットワークではなく、ルーター/ファイアウォールにアクセスできない場合。

— Split71

-1

Fedora LinuxクライアントでJuniper NCクライアントを使用しており、特定のサービスまたはネットセグメントへの静的ルートを作成できます。たとえば、接続しているネットワークで送信IMAPが許可されていないため、メールアカウントへの静的ルートを作成します。もちろん、rootアクセスが必要です。また、NCが作成するデフォルトルートを削除しようとしましたが、数秒以内にルートを再度追加するデーモンがあります。

— user161165
ソース