☰

すべてのトラフィックをopenconnect経由でルーティングする

tag-icon • tag-icon vpn iproute cisco openconnect
すべてのトラフィックをopenconnect経由でルーティングする

ビジネス VPN (Cisco AnyConnect) に接続しようとしています。openconnect を利用していて、接続が確立されています。その接続はコマンドでも確認できますip add。によると、デフォルト ルートはip routewlp5s0 のようです。このルートを使用せずに VPN ルートを選択するように openconnect を構成するにはどうすればよいでしょうか。問題は、VPN に接続すると IP アドレスが変更されないことです。Ciscoopenconnectのターミナル バージョンと gnome GUI インストールを試しました。どちらでも同じ問題が発生します。

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eno1: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc fq_codel state DOWN group default qlen 1000
    link/ether XX:XX:XX:XX:XX:XX brd ff:ff:ff:ff:ff:ff
3: wlp5s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether YY:YY:YY:YY:YY:YY brd ff:ff:ff:ff:ff:ff
    inet 192.111.111.111/24 brd 192.111.111.255 scope global dynamic noprefixroute wlp5s0
       valid_lft 86208sec preferred_lft 86208sec
    inet6 ffff::ffff:ffff:ffff:ffff/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever
4: vpn0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1300 qdisc fq_codel state UP group default qlen 500
    link/none 
    inet 192.111.11.111/22 brd 192.111.111.255 scope global noprefixroute vpn0
       valid_lft forever preferred_lft forever
    inet6 eeee::eeee:eeee:eeee:eeee/64 scope link stable-privacy 
       valid_lft forever preferred_lft forever

何を共有しても安全かよくわからないので、いくつかのエントリを変更しました。

これはip routeエントリーです

default via 192.168.1.1 dev wlp5s0 proto dhcp metric 600 
10.0.0.0/8 dev vpn0 scope link 
10.0.0.2 dev vpn0 scope link 
10.0.0.3 dev vpn0 scope link 
<office ip cidr>/23 dev vpn0 scope link 
<office ip> via 192.168.1.1 dev wlp5s0 src 192.168.1.17 
169.254.0.0/16 dev wlp5s0 scope link metric 1000 
172.16.0.0/12 dev vpn0 scope link 
<Company IP CIDR>/22 dev vpn0 scope link 
<Company IP CIDR>/24 dev vpn0 scope link 
192.168.0.0/16 dev vpn0 scope link 
192.168.1.0/24 dev wlp5s0 proto kernel scope link src 192.168.1.17 metric 600 
192.168.20.0/22 dev vpn0 scope link

VPN と同じ LAN 内にある 10.12.122.197 にアクセスしようとしています。

ちなみにUbuntu 19.10を実行しています。

答え1

目的を達成するために必要な変更は、VPN サーバー側の構成によって異なります。トラフィックを外部ネットワークに渡すように構成されていない可能性があります。

これをテストするには、クライアント システムにルート エントリを追加します。

# ip route add default dev vpn0

次に、外部ネットへの traceroute を試します。

# traceroute 1.1.1.1

このようなルートをクライアントにプッシュする 1 つの方法は、シスコ デバイスでスプリット トンネリングを設定し、スプリット トンネル ACL を指定して、その ACL 内に適切なルールを追加することです。これらのルールは、接続時にクライアントへのルートとしてプッシュされます。

ルートを追加してもうまくいかない場合は、VPN サーバーの設定を調整する必要があります。

関連情報