使用 OpenConnect 代替 Cisco AnyConnect,避免路由表被锁定

前言

最近做一个项目,需要通过 VPN 连结到对方的服务器,对方用的是 Cisco AnyConnect。

我们装上给的 AnyConnect 客户端,可以连上。

问题

后来,我们的系统跑不起来,发现了问题:我们的系统需要连接我们内网的服务 X,而这个服务 X 的 IP 地址被 AnyConnect 的路由表包含在其中了。查看路由表可以发现这个情况,把 VPN 一断开,服务 X 又能访问了,一连上马上又不行了。我们连 VPN 只需要访问对方的仅仅一个 IP,但是这 VPN 把一堆内网网段都路由了。

我直接删了对应的路由表,再刷新路由表一看,那个条目怎么还在??

后来找了好久,总算找到了元凶,就是 AnyConnect 本身。它就是会故意监视路由表,一旦发现被篡改就给你改回去。

解决

在刚才的链接中,有人就提出了办法:不用 AnyConnect,改用开源的 OpenConnect。安装很简单,Linux/Mac OS 都有现成的包可以通过命令行安装,Windows 也有对应的 GUI 版本。

安装完成后,使用以下命令连接 VPN:

# echo password | openconnect --background -u vpnuser \
--servercert pin-sha256:xxxxxxxxxxxxxxxxxxxx \
vpn.your.com

连接建立后,可以查看路由表,发现路由表确实又被加了许多。

但是没关系,sudo ip del xxxxxxxxxx,直接就能删掉。这样问题就解决了。


发表评论

解决 : *
76 − 38 =