هايبرفايزر المختبر المنزلي غير قابل للوصول عبر VPN: أين تبحث

يرتفع النفق، وتنتهي مهلة صفحة الهايبرفايزر على الويب، ويقول العميل إنه متصل. هذا المزيج يستبعد قدرًا كبيرًا بشكل مفاجئ: مصافحة VPN تعمل، والعميل لديه عنوان، ونقطة النهاية قابلة للوصول. ما يتبقى قائمة قصيرة من أسئلة التوجيه والسياسات، ولها ترتيب طبيعي. ابدأ بها من الهايبرفايزر إلى الخارج لا من العميل إلى الداخل، لأن حالة الهايبرفايزر نفسه هي أرخص ما يمكن تأكيده.

ابدأ بشريحة الإدارة

أكّد عنوان إدارة الهايبرفايزر والخدمة التي تستمع عليه، وأكّد أن الصفحة تُحمَّل من مضيف آخر على تلك الشريحة قبل أن تشخّص أي شيء عن بُعد. الاختبار المحلي الذي يفشل ليس مشكلة VPN، وهو فحص يستغرق خمس دقائق ويوفر ساعة.

ثم المساران. يحتاج عميل VPN إلى مسار إلى شبكة الإدارة، وهذا يعني عادة أن AllowedIPs لدى العميل أو المسارات المدفوعة تتضمن تلك الشبكة الفرعية. ويحتاج الهايبرفايزر، أو بوابته الافتراضية، إلى مسار عودة إلى مجموعة عناوين العملاء، إلا إذا كان التصميم يترجم المصدر عمدًا عند الدخول. هاتان حقيقتان منفصلتان، وغياب إحداهما ينتج المهلة نفسها. افحصهما منفصلين: ip route get 192.168.10.20 على العميل، والتقاط على مضيف الهايبرفايزر يبيّن ما إذا وصلت الحزمة أصلًا.

اسمح للمدير البعيد الفعلي

التخويل سؤال منفصل عن قابلية الوصول. استخدم سياسة بوابة ومضيف محدودة بالمصادر والخدمات التي تحتاج إلى وصول إداري. حساب VPN للزوار يحتاج إلى تطبيق مختبر واحد يجب ألا يصل بذلك إلى مستوى الإدارة، والقاعدة المسطحة التي تسمح لشبكة النفق بأكملها هي الطريقة التي يحدث بها ذلك.

أبقِ مصادقة الهايبرفايزر نفسه وفحوص الشهادة مفعّلة. المسار الخاص ليس سببًا للنقر عبر تحذير هوية غير متوقع.

يستحق التحذير أن يُعامل كاكتشاف لا كعائق. إذا لم تطابق الشهادة الاسم الذي استخدمته، فالاسم خاطئ أو أن الخدمة ليست ما تظنه، والجوابان يهمان أكثر على واجهة إدارة من أي مكان آخر. اصل إلى الصفحة بالاسم الذي صدرت الشهادة له، ودع DNS يوجه ذلك الاسم إلى عنوان النفق. الاسم الخاص الذي يُحل بشكل غير متسق بين الشبكة المحلية والنفق سبب شائع لشكاوى الشهادات التي تبدو أعطال VPN.

افحص الاتصالات الثانوية

بعض الميزات تستخدم اتصالات لا تستخدمها صفحة الويب. جلسة طرفية أو رفع ISO أو وكيل VNC أو SPICE أو قناة ترحيل يمكن أن يستخدم كل منها منفذًا مختلفًا أو عنوان مضيف مختلفًا. عندما تُحمَّل الصفحة وتفشل ميزة واحدة، اقرأ متطلبات ذلك المنتج بدلًا من فتح كل منفذ على المضيف.

فتح كل شيء هو كيف تصبح واجهة الإدارة غير مُدارة. كل منفذ إضافي هو مستمع آخر يجب إبقاؤه محدثًا، والهايبرفايزر يعرض ما يكفي منها بالفعل. حدّد الاتصال المحدد الذي تحتاجه الميزة، وأكّد أنه قابل للوصول عبر النفق، واترك الباقي مغلقًا. إذا أصرت الميزة على اتصال مباشر بعنوان مضيف لا يمكن توجيهه عبر نفقك، فهذا قيد تصميمي يُلتف حوله عمدًا، لا سبب لتحويل نطاق.

احتفظ بطريق عودة قبل أن تلمس الشبكة

قبل أن تغيّر الشبكة الافتراضية التي تحمل VPN الخاص بك، أكّد أن لديك طريق عودة محليًا أو مستقلًا.

يهم هذا أكثر في مختبر منزلي، لأن نقطة نهاية VPN غالبًا جهاز افتراضي على الهايبرفايزر نفسه الذي تحاول الوصول إليه. تغيير مبدّل افتراضي أو جسر أو قاعدة جدار حماية عن بُعد يمكن أن يزيل المسار الذي تستخدمه، وقد تصمد الجلسة بما يكفي لمشاهدة ذلك يحدث.

اختبر من خارج المختبر لا من الشبكة المحلية، وتحقق من الرفض كما تتحقق من السماح. الشبكة التي يجب أن تبقى غير قابلة للوصول من النفق يجب أن تبقى غير قابلة للوصول بعد تغييرك، وهذا تأكيد منفصل عن تحميل صفحة الإدارة. اكتب النتيجتين، لأن الثانية هي التي تُترك والتي تهم عندما ينمو المختبر.

السجل الذي يجب الاحتفاظ به قصير: عنوان الإدارة والخدمة، والمسار الذي يحتاجه كل جانب، والهويات المسموح لها بالوصول، ومسار الاستعادة. هذا يكفي للشخص التالي لإعادة إنتاج الحالة العاملة دون إعادة استنتاجها.

إذا ظلت الصفحة تنتهي بالمهلة بعد كل ذلك، فالتقط على الهايبرفايزر وابحث عن الحزمة قبل أن تغيّر قاعدة أخرى. الحزمة التي لا تصل أبدًا سؤال توجيه أو جدار حماية؛ والحزمة التي تصل وتُرفض سؤال خدمة أو سياسة؛ والحزمة التي تصل ويُرد عليها بينما ينتظر العميل سؤال مسار عودة. وثائق strongSwan للتوجيه تغطي كيف تعيد بوابة Linux توجيه حركة النفق إلى مضيف داخلي. ثلاث عمليات التقاط أفضل من تخمين آخر.