Собственное подключение к Интернету WatchGuard Firebox не удается после добавления маршрута BovpnVif до 0,0.0.0/0

Среда: В корпоративной сети есть устройство Firebox серии M с Total Security Suite в штаб-квартире. В каждом филиале есть небольшой Firebox серии T без услуг подписки. По этой причине весь трафик из филиалов направляется через устройство серии M в головном офисе. Некоторые из Firebox в филиалах имеют статический IP-адрес, некоторые получают его через DHCP.

Иногда могут возникать проблемы с туннелем (например, если сеть HQ не работает). Следовательно, Firebox-ы филиала должны иметь возможность отказаться от маршрута 0.0.0.0/0 через туннель и какое-то время работать автономно, поскольку подключение к Интернету BO имеет решающее значение для бизнеса. Это работает с виртуальным интерфейсом BO, но не с 0.0.0.0/0 через BO GW & Tunnel.

Упрощенная (только один внешний и надежный, если) конфигурация, связанная с филиалом с DHCP.

• ] Firebox-HQ ( 10.9.0.1 ) - M670 [Fireware OS v12.2.1.B572649]
  • Интерфейсы (режим маршрутизации)
    • eth0 : ISP1 [Внешний] - 198.51.100.123/24 (Статический)
    • eth1 : Доверенный [Доверенный] - 10.9.0.1/24
  • Интерфейс VPN ( bvpn20 ): BovpnVif.BO20 [IKEv1]
    • Путь к 10.9.20.0/24
• Firebox-BO20 ( 10.9.20.1 ) - T55 [Fireware OS v12.2.1.B572649]
  • Интерфейсы (режим маршрутизации)
    • DNS-серверы: 192.0.2.10 & 192.0.2.20 (DNS-серверы ISP2)
    • eth0 : ISP2 [Внешний] - 203.0.113.33/ 24 (DHCP)
    • eth1 : Trusted [Trusted] - 10.9.20.1/24
  • Интерфейс VPN ( bvpn1 ): BovpnVif.HQ [IKEv1]
    • Маршрут к 0.0.0.0/0
    • Настройки VPN: [x] Удалять маршруты VPN, когда туннель для BOVPN vif не работает.

Все работает так, как ожидалось, когда туннель не работает. Firebox-BO20 может работать как преобразователь DNS для своей сети eth1 . Как 10.9.20.0/24 , так и сам Firebox могут получить доступ к Интернету.

Проблема: Когда туннель активен и маршрут 0.0.0.0/0 через ] bvpn1 добавлен, клиенты на eth1 могут получить доступ в Интернет через VPN и все ресурсы (включая DNS-серверы) в главном офисе.

IPv4 Routes
------------
Destination     Gateway         Genmask         Flags   Metric    Interface   
0.0.0.0         0.0.0.0         0.0.0.0         U       1         bvpn1       
0.0.0.0         203.0.113.1     0.0.0.0         UG      5         eth0        
10.9.20.0       0.0.0.0         255.255.255.0   U       0         eth1        
203.0.113.0     0.0.0.0         255.255.255.0   U       0         eth0        
127.0.0.0       0.0.0.0         255.0.0.0       U       0         lo           

Однако Firebox перестает работать в качестве преобразователя DNS и теряет собственное подключение к Интернету . Это связано с тем, что собственные соединения Firebox также начинают использовать этот маршрут.

• DNS-серверы ISP2 192.0.2.10 и 192.0.2.20 недоступны для ISP1 .
• Устройства в сети 10.9.20.0/24 могут получить доступ в Интернет через bvpn1 .
• Firebox не использует свой внутренний IP-адрес 10.9.20.1 через туннель, но 203.0.113.33 .
• Правило брандмауэра Any From Firebox-00 жестко запрограммировано и не отображается в диспетчере политик. В противном случае было бы легко заставить его использовать eth0 с .

Существуют политики брандмауэра, разрешающие весь необходимый трафик на обоих устройствах; поэтому проблема ограничивается только маршрутизацией.