FortiClient VPN の分割ルーティング設定とルートテスト

for cidr in default 0.0.0.0/1 128.0.0.0/1; do
  sudo route -q -n delete -ifscope "$VPN_IF" "$cidr"
done

if ! sudo route -n change default "$LOCAL_GW"; then
  sudo route -n add default "$LOCAL_GW"
fi

sudo route -n add -net 10.0.0.0/8 "$VPN_PEER"

sudo route -n change -net 10.0.0.0/8 "$VPN_PEER"

bash forticlient_split.sh 10.1.1.1 192.168.0.100 google.com

chmod +x forticlient_split.sh
./forticlient_split.sh 10.1.1.1 192.168.0.100 google.com

#!/usr/bin/env bash
# =============================================================================
# FortiClient VPN 分割ルーティング（詳細出力付き）
#
# このスクリプトは FortiClient によって挿入されたルートをリセットし、
# VPN 以外のトラフィック用にローカルのデフォルトゲートウェイを復元し、
# 10.0.0.0/8 ネットワークを VPN にバインドし、
# ルーティングテーブル、インターフェースマッピング、接続テスト（ping）を詳細に表示します。
#
# 使い方:
#   forticlient_split.sh [ -h | --help ] host1 [host2 ...]
#
# オプション:
#   -h, --help    ヘルプメッセージを表示して終了します。
# =============================================================================

set -euo pipefail
IFS=$'\n\t'

# -----------------------------------------------------------------------------
# エラーと情報表示のヘルパー関数
# -----------------------------------------------------------------------------

# die はエラーメッセージを表示し、ステータス1で終了します。
# 引数:
#   $@: 表示するエラーメッセージ
die() {
  printf '❌ %s\n' "$*" >&2
  exit 1
}

# info は情報メッセージを表示します。
# 引数:
#   $@: 表示するメッセージ
info() {
  printf 'ℹ️  %s\n' "$*"
}

# -----------------------------------------------------------------------------
# ユーティリティ関数
# -----------------------------------------------------------------------------

# get_vpn_interface は最初に見つかった PtP アドレスを持つ utun/tun/ppp インターフェース名を出力します。
# 戻り値:
#   見つかったインターフェース名を出力、見つからなければ空出力
get_vpn_interface() {
  while read -r iface; do
    iface=${iface%:}
    if ifconfig "$iface" | grep -q 'inet .*-->'; then
      printf '%s\n' "$iface"
      return
    fi
  done < <(ifconfig | awk '/^(utun|tun|ppp)[0-9]+:/{print $1}')
}

# get_vpn_peer は指定された VPN インターフェースの PtP 対向 IP を取得します。
# 引数:
#   $1: インターフェース名（例: utun4）
# 戻り値:
#   対向 IP を出力、見つからなければ空出力
get_vpn_peer() {
  local iface="$1"
  ifconfig "$iface" | awk '/inet / && /-->/ {
    for (i = 1; i <= NF; i++) {
      if ($i == "-->") { print $(i+1); exit }
    }
  }'
}

# get_local_gateway は VPN 以外のデフォルトゲートウェイを取得します。
# 戻り値:
#   ゲートウェイ IP を出力、見つからなければ空出力
get_local_gateway() {
  netstat -rn \
    | awk '$1=="default" && $NF !~ /(utun|tun|ppp)/ { print $2; exit }'
}

# iface_of は指定ホストにアクセスする際に使われるインターフェース名を返します。
# 引数:
#   $1: ホスト名またはIP
# 戻り値:
#   インターフェース名を出力
iface_of() {
  route get "$1" 2>/dev/null \
    | awk '/interface:/{print $2}'
}

# show_route_info は現在のデフォルトルートと10.0.0.0/8のルート情報を表示します。
show_route_info() {
  printf '\n──────────────────────────────────────────────────\n'
  info "🔎 現在のデフォルトルート:"
  route get default 2>/dev/null | awk 'NR<=5'
  info "🔎 現在の 10.0.0.0/8 ルート:"
  route get 10.0.0.1 2>/dev/null | awk 'NR<=5'
  printf '──────────────────────────────────────────────────\n\n'
}

# test_connect は指定ホストへのping疎通確認を行います。
# 引数:
#   $1: ホスト名またはIP
test_connect() {
  local host="$1"
  printf '   ↳ %s への疎通テスト: ' "$host"
  if ping -c2 -W1 "$host" &>/dev/null; then
    printf '✅ 到達可能\n'
  else
    printf '❌ 到達不可\n'
  fi
}

# -----------------------------------------------------------------------------
# 使用方法表示
# -----------------------------------------------------------------------------

usage() {
  cat <<-EOF
使い方: $(basename "$0") [ -h | --help ] host1 [host2 ...]
オプション:
  -h, --help    ヘルプメッセージを表示して終了します。
EOF
  exit 0
}

# -----------------------------------------------------------------------------
# メイン処理
# -----------------------------------------------------------------------------

# フラグ解析
if [[ "${1-}" =~ ^-h|--help$ ]]; then
  usage
fi

# ホスト収集
HOSTS=("$@")
(( ${#HOSTS[@]} )) || die "少なくとも一つのホストを指定してください。"

# 1. VPNインターフェースとゲートウェイの検出
info "🔍 VPNインターフェースとローカルゲートウェイを検出中"
VPN_IF=$(get_vpn_interface)                         || die "VPNインターフェース（utun/tun/ppp）を検出できませんでした。"
VPN_PEER=$(get_vpn_peer "$VPN_IF")                  || die "VPNのPtP対向IPを取得できませんでした。"
LOCAL_GW=$(get_local_gateway)                       || die "ローカルゲートウェイを取得できませんでした。"
info "   • VPNインターフェース：$VPN_IF"
info "   • VPNピアIP：$VPN_PEER"
info "   • ローカルゲートウェイ：$LOCAL_GW"

# 変更前のルートを表示
show_route_info

# 2. FortiClient によって強制追加されたルートを削除
info "🧹 FortiClientが挿入した強制ルートを削除中"
for cidr in default 0.0.0.0/1 128.0.0.0/1; do
  sudo route -q -n delete -ifscope "$VPN_IF" "$cidr" 2>/dev/null || true
done

# 3. ローカルのデフォルトゲートウェイを復元
info "🚧 ローカルのデフォルトルートを $LOCAL_GW に設定中"
if ! sudo route -n change default "$LOCAL_GW" 2>/dev/null; then
  sudo route -n add default "$LOCAL_GW"
fi

# 4. 10.0.0.0/8 ネットワークをVPNにバインド
info "🔗 10.0.0.0/8 ネットワークを $VPN_PEER ($VPN_IF) にバインド"
if ! sudo route -n add -net 10.0.0.0/8 "$VPN_PEER" 2>/dev/null; then
  sudo route -n change -net 10.0.0.0/8 "$VPN_PEER"
fi

# 変更後のルートを表示
show_route_info

# 5. ルーティングインターフェースと接続性のテスト
info "🌐 ルートインターフェースと接続性をテスト中"
for host in "${HOSTS[@]}"; do
  actual_if=$(iface_of "$host" || echo "不明")
  if [[ $host == 10.* ]]; then
    expected_if="$VPN_IF"
  else
    expected_if="ローカル（非VPN）"
  fi
  printf '   • %-15s ➜ インターフェース %-8s (期待値 %s)\n' \
    "$host" "$actual_if" "$expected_if"
  test_connect "$host"
done

info "🎉 設定、ルート、接続性テストが完了しました"