Gebruik 'n Hyper-V virtuele masjien die gasheer se VPN? Dit hang van die skakelaar af

Installeer 'n VPN-kliënt op die Hyper-V-gasheer, maak daar 'n blaaier oop, en die uitgangsadres verander; maak dieselfde bladsy in die virtuele masjien oop en dit wys dalk die ou adres, of glad niks. Die gewone gevolgtrekking is dat die virtuele masjien stukkend is, of dat verdeelde tonnelering aangeskakel moet word. Nie een volg nie. 'n VPN-kliënt is nie 'n eienskap van die masjien nie; dit is 'n stel roetes, 'n virtuele adapter en dikwels 'n filter wat aan spesifieke koppelvlakke geheg is. Of gasverkeer ooit daardie masjinerie teëkom, hang af van die virtuele skakelaar wat die gas gebruik.

Die mite, eenvoudig gestel

Die oortuiging is dat 'n VPN wat op die gasheer geïnstalleer is, die hele masjien beskerm, virtuele masjiene ingesluit, omdat 'n virtuele masjien net 'n proses op daardie masjien is. Dit is 'n gerieflike oortuiging, want antivirus en gasheer-firewalls werk gewoonlik so. Netwerkpaaie doen dit nie.

'n Gas se raam word net deur die gasheer se VPN-stapel geraak as die gasheer dit routeer of filter. Skryf daardie sin op 'n kleefbriefie, want elke geval hieronder is 'n variasie daarvan.

Drie tipes skakelaars, drie paaie

'n Eksterne skakelaar bind 'n virtuele adapter aan 'n fisiese netwerkkaart, en die gas stuur rame deur daardie binding met sy eie MAC-adres. Die gas word 'n eweknie op die fisiese netwerk, met sy eie DHCP-huurkontrak, gateway en DNS-bedieners. Die gasheer se VPN-verstekroete leef op die gasheer se stapel en beweeg nie daardie rame nie, want hulle word oorbrug eerder as deur die gasheer gerouteer. Dit is ook waarom 'n eksterne skakelaar oor 'n Wi-Fi-adapter 'n slegte idee is: die meeste draadlose drywers sal nie rame vir 'n tweede MAC-adres dra nie.

'n Interne skakelaar verbind gaste aan 'n virtuele adapter op die gasheer. Op sigself bied dit geen internetuitgang nie; 'n NAT-objek op die gasheer sorg vir vertaling, soos beskryf in die Hyper-V NAT-gids. Nou betree die gas se pakkette wel die gasheer se roetering en NAT-pad, so die VPN-kliënt se roetes en filters maak weer saak. Dit is die reëling waar die virtuele masjien regtig die gasheer se VPN volg, en waar 'n doodskakelaar die gas heeltemal kan afsny.

'n Privaat skakelaar het geen gasheer-adapter en geen opverbinding nie. Gaste praat met mekaar en met niks anders, so as 'n virtuele masjien op 'n privaat skakelaar geen internet het nie, is die ontbrekende roeteerder die oorsaak en die VPN irrelevant.

Die standaardskakelaar is sy eie reëling

Windows lewer 'n standaardskakelaar wat 'n interne skakelaar met NAT en 'n DNS-proxy kombineer. Sy subnet word deur die gasheer gekies, kan ná herstarts verander, en is nie dieselfde objek as 'n NAT-netwerk wat jy self skep nie. Om dit te herbou asof dit 'n laboratoriumnetwerk is, is hoe mense met twee NAT's en 'n gas sonder enige roete beland.

As die virtuele masjien op die standaardskakelaar sit, lees die adres wat die gas ontvang het en vergelyk dit met die gasheer se NAT-tabel voordat jy aan die VPN-kliënt raak. 'n Wanverhouding tussen die gas se gateway en die NAT-voorvoegsel verduidelik meer mislukkings as enige kliëntinstelling.

Vier feite wat die vraag beslis

Versamel dit voordat jy iets verander: die tipe skakelaar en sy opverbinding, die adapter wat aan die virtuele masjien geheg is, die gas se eie adres, gateway en DNS, en die gasheer se NAT- en verstekroete-toestand. Die lees-alleen-opdragte is Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat, en Get-NetRoute -DestinationPrefix 0.0.0.0/0; binne die gas gee ipconfig /all die res.

Besluit dan wat die gas veronderstel is om te doen. As dit buite die VPN moet bly, kry die verskaffer se ondersteunde uitsondering vir daardie presiese pad, want om 'n gasheer-uitvoerbare lêer uit te sluit, stel nie geforwarde virtuele masjien-verkeer vry nie. As dit die VPN moet gebruik, bevestig die kliënt se gedokumenteerde hantering van virtuele masjien-verkeer in plaas daarvan om aan te neem dat 'n toets in die gasheer se blaaier dit dek.

'n Toets binne die gas is die enigste bewyse wat tel. Kontroleer die uitgangsadres vanaf die gas, los 'n interne naam op, herverbind die VPN en herhaal. Die gasheer se blaaieruitslag is nie 'n proxy vir enigiets daarvan nie.

Wat die mite kos

Mense skakel die doodskakelaar af, voeg statiese roetes by, of verwyder en herskep skakelaars net om 'n toets te laat slaag. Elke kortpad verander die mislukkingsmodus: die gas kan die internet bereik deur 'n pad wat niemand bedoel het nie, of die gasheer kan konnektiwiteit verloor wanneer 'n eksterne skakelaar sy fisiese adapter herbind.

Om 'n eksterne skakelaar te herbind onderbreek die gasheer se eie toegang, so hou 'n buiteband-pad oop en vermy om skakelaars te verwyder terwyl jy nog diagnostiseer. Die korrekte uitkoms is die beoogde gaspad, insluitend hoe dit herverbind en hoe dit misluk, nie 'n groen regmerkie van een bladsylading nie.

Die blywende antwoord is een reël per virtuele masjien in die inventaris: watter skakelaar dit gebruik en watter komponent sy gateway verskaf. Met dit neergeskryf, is die volgende VPN-verandering 'n naslaan in plaas van 'n middag se raai.