Hipervisor in die tuislab onbereikbaar via VPN: waar om te kyk

Die tonnel kom op, die hipervisor se webblad hou aan tyd uit, en die kliënt sê dit is gekonnekteer. Daardie kombinasie sluit verbasend baie uit: die VPN-handdruk werk, die kliënt het ’n adres, en die eindpunt is bereikbaar. Wat oorbly, is ’n kort lys roetering- en beleidsvrae, en hulle het ’n natuurlike volgorde. Werk hulle van die hipervisor uitwaarts eerder as van die kliënt inwaarts, want die hipervisor se eie toestand is die goedkoopste ding om te bevestig.

Begin by die bestuurssegment

Bevestig die hipervisor se bestuursadres en die diens wat daarop luister, en bevestig dat die bladsy van ’n ander gasheer op daardie segment laai voordat jy enigiets op afstand diagnoseer. ’n Plaaslike toets wat misluk, is nie ’n VPN-probleem nie, en dit is ’n vyfminuuttoets wat ’n uur bespaar.

Dan die twee paaie. Die VPN-kliënt het ’n roete na die bestuursnetwerk nodig, wat gewoonlik beteken dat die kliënt se AllowedIPs of gestootde roetes daardie subnet insluit. Die hipervisor, of sy verstekpoort, het ’n terugpad na die kliëntadrespoel nodig, tensy die ontwerp die bron doelbewus op die inkomende pad vertaal. Dit is twee afsonderlike feite en enigeen wat ontbreek, lewer dieselfde tyduit. Kontroleer hulle afsonderlik: ip route get 192.168.10.20 op die kliënt, en ’n opname op die hipervisor-gasheer wat wys of die pakkie hoegenaamd aangekom het.

Laat die werklike afstandadministrateur toe

Magtiging is ’n aparte vraag van bereikbaarheid. Gebruik poort- en gasheerbeleid beperk tot die bronne en dienste wat bestuurstoegang nodig het. ’n Gas-VPN-rekening wat een labtoepassing nodig het, moet nie daardeur die bestuursvlak bereik nie, en ’n plat reël wat die hele tonnel-subnet toelaat, is hoe dit gebeur.

Hou die hipervisor se eie verifikasie en sertifikaatkontroles aan. ’n Privaat roete is nie ’n rede om deur ’n onverwagte identiteitswaarskuwing te klik nie.

Die waarskuwing is werd om as ’n bevinding eerder as ’n hindernis te hanteer. As die sertifikaat nie by die naam pas wat jy gebruik het nie, is óf die naam verkeerd óf die diens is nie die een wat jy dink dit is nie, en albei antwoorde maak meer saak op ’n bestuurskoppelvlak as enige ander plek. Bereik die bladsy by die naam waarvoor die sertifikaat uitgereik is, en laat DNS daardie naam na die tonneladres wys. ’n Privaat naam wat inkonsekwent tussen die LAN en die tonnel oplos is ’n algemene oorsaak van sertifikaatklagtes wat soos VPN-foute lyk.

Kontroleer sekondêre verbindings

Sommige funksies gebruik verbindings wat die webblad nie gebruik nie. ’n Konsole-sessie, ’n ISO-oplaai, ’n VNC- of SPICE-proxy en ’n migrasiekanaal kan elk ’n ander poort of ’n ander gasheeradres gebruik. Wanneer die bladsy laai en een funksie misluk, lees daardie produk se vereiste eerder as om elke poort op die gasheer oop te maak.

Om alles oop te maak, is hoe ’n bestuurskoppelvlak ’n onbestuurde een word. Elke bykomende poort is nog ’n luisteraar om gepatch te hou, en ’n hipervisor stel al genoeg daarvan bloot. Identifiseer die spesifieke verbinding wat die funksie nodig het, bevestig dat dit deur die tonnel bereikbaar is, en laat die res gesluit. As die funksie aandring op ’n direkte verbinding na ’n gasheeradres wat nie deur jou tonnel gerouteer kan word nie, is dit ’n ontwerpbeperking om doelbewus te omseil, nie ’n rede om ’n reeks te stuur nie.

Hou ’n weg terug voordat jy die netwerk aanraak

Voordat jy die virtuele netwerk verander wat jou eie VPN dra, bevestig dat jy ’n plaaslike of onafhanklike weg terug het.

Dit maak die meeste saak in ’n tuislab, want die VPN-eindpunt is dikwels ’n virtuele masjien op dieselfde hipervisor wat jy probeer bereik. Om ’n virtuele skakelaar, ’n brug of ’n firewall-reël op afstand te verander, kan die pad wat jy gebruik, verwyder, en die sessie kan lank genoeg oorleef om dit te sien gebeur.

Toets van buite die lab eerder as van die LAN, en verifieer die weierings sowel as die toelatings. ’n Netwerk wat onbereikbaar van die tonnel moet bly, moet steeds onbereikbaar wees ná jou verandering, en dit is ’n aparte bevestiging van die bestuursblad wat laai. Skryf albei resultate neer, want die tweede een is die een wat oorgeslaan word en die een wat saak maak wanneer die lab groei.

Die rekord om te hou is kort: die bestuursadres en -diens, die roete wat elke kant nodig het, die identiteite wat dit mag bereik, en die herstelpad. Dit is genoeg vir die volgende persoon om die werkende toestand te reproduseer sonder om dit weer af te lei.

As die bladsy na dit alles steeds tyd uit, neem ’n opname op die hipervisor en soek die pakkie voordat jy nog ’n reël verander. ’n Pakkie wat nooit aankom nie, is ’n roetering- of firewall-vraag; ’n pakkie wat aankom en geweier word, is ’n diens- of beleidsvraag; ’n pakkie wat aankom en beantwoord word terwyl die kliënt wag, is ’n terugpad-vraag. Die strongSwan-dokumentasie oor aansturing dek hoe ’n Linux-poort tonnelverkeer na ’n interne gasheer aanstuur. Drie opnames klop nog een raaiskoot.