Ev laboratoriyasında hipervayzer VPN üzərindən əlçatmazdır: hara baxmalı

Tunel qalxır, hipervayzerin veb səhifəsi vaxt aşımına uğrayır və müştəri qoşulduğunu bildirir. Bu birləşmə təəccüblü dərəcədə çox şeyi istisna edir: VPN əl sıxışması işləyir, müştərinin ünvanı var və son nöqtə əlçatandır. Qalan şey marşrutlaşdırma və siyasət suallarından ibarət qısa siyahıdır və onların təbii sırası var. Onları müştəridən içəriyə deyil, hipervayzerdən bayıra doğru işləyin, çünki hipervayzerin öz vəziyyəti təsdiqləmək üçün ən ucuz şeydir.

İdarəetmə seqmentindən başlayın

Hipervayzerin idarəetmə ünvanını və onu dinləyən xidməti təsdiqləyin, hər hansı uzaq diaqnostikadan əvvəl səhifənin həmin seqmentdəki başqa hostdan yükləndiyini təsdiqləyin. Uğursuz olan yerli test VPN problemi deyil və bir saat qazandıran beş dəqiqəlik yoxlamadır.

Sonra iki yol. VPN müştərisinin idarəetmə şəbəkəsinə marşruta ehtiyacı var, bu adətən müştərinin AllowedIPs və ya itələnmiş marşrutlarının həmin alt şəbəkəni əhatə etməsi deməkdir. Hipervayzer və ya onun standart şlüzü müştəri ünvan hovuzuna qayıdış yolu tələb edir, məgər dizayn mənbəni girişdə qəsdən tərcümə etmirsə. Bunlar iki ayrı faktdır və hər hansı birinin olmaması eyni vaxt aşımını yaradır. Onları ayrı-ayrılıqda yoxlayın: müştəridə ip route get 192.168.10.20 və paketin ümumiyyətlə gəlib-gəlmədiyini göstərən hipervayzer hostunda tutma.

Faktiki uzaq administratora icazə verin

Avtorizasiya əlçatanlıqdan ayrı bir sualdır. Şlüz və host siyasətini idarəetmə girişinə ehtiyacı olan mənbələr və xidmətlərlə məhdudlaşdırın. Bir laboratoriya tətbiqinə ehtiyacı olan qonaq VPN hesabı bununla idarəetmə müstəvisinə çatmamalıdır və bütün tunel alt şəbəkəsini qəbul edən düz qayda buna səbəb olur.

Hipervayzerin öz autentifikasiyasını və sertifikat yoxlamalarını açıq saxlayın. Şəxsi marşrut gözlənilməz şəxsiyyət xəbərdarlığını klikləmək üçün səbəb deyil.

Xəbərdarlığa maneə kimi deyil, tapıntı kimi baxmağa dəyər. Sertifikat istifadə etdiyiniz adla uyğun gəlmirsə, ya ad səhvdir, ya da xidmət düşündüyünüz xidmət deyil və hər iki cavab idarəetmə interfeysində hər yerdən çox vacibdir. Səhifəyə sertifikatın verildiyi adla çatın və DNS həmin adı tunel ünvanına yönəltsin. LAN və tunel arasında uyğunsuz həll olunan şəxsi ad VPN nasazlığı kimi görünən sertifikat şikayətlərinin geniş yayılmış səbəbidir.

İkinci dərəcəli bağlantıları yoxlayın

Bəzi funksiyalar veb səhifənin istifadə etmədiyi bağlantılardan istifadə edir. Konsol sessiyası, ISO yükləməsi, VNC və ya SPICE proksisi və miqrasiya kanalı hər biri fərqli port və ya fərqli host ünvanı istifadə edə bilər. Səhifə yüklənib bir funksiya uğursuz olduqda, hostda bütün portları açmaq əvəzinə həmin məhsulun tələbini oxuyun.

Hər şeyi açmaq idarəetmə interfeysinin idarə olunmayan interfeysə çevrilmə yoludur. Hər əlavə port yamaqlı saxlanmalı daha bir dinləyicidir və hipervayzer artıq kifayət qədər belə port açır. Funksiyanın ehtiyac duyduğu konkret bağlantını müəyyənləşdirin, onun tunel vasitəsilə əlçatan olduğunu təsdiqləyin və qalanını bağlı saxlayın. Funksiya tunelinizdən marşrutlaşdırıla bilməyən host ünvanına birbaşa bağlantıda israr edirsə, bu qəsdən yan keçilməli dizayn məhdudiyyətidir, aralıq yönləndirmək üçün səbəb deyil.

Şəbəkəyə toxunmazdan əvvəl geri yol saxlayın

Öz VPN-inizi daşıyan virtual şəbəkəni dəyişməzdən əvvəl yerli və ya müstəqil geri yolunuz olduğunu təsdiqləyin.

Bu, ev laboratoriyasında daha çox əhəmiyyət daşıyır, çünki VPN son nöqtəsi çox vaxt çatmağa çalışdığınız hipervayzerin özündə virtual maşındır. Virtual kommutatoru, körpünü və ya firewall qaydasını uzaqdan dəyişmək istifadə etdiyiniz yolu silə bilər və sessiya bunun baş verdiyini görmək üçün kifayət qədər uzun yaşaya bilər.

Laboratoriyadan kənardan, LAN-dan deyil, sınaqdan keçirin və icazələrlə yanaşı rədd cavablarını da yoxlayın. Tuneldən əlçatmaz qalmalı olan şəbəkə dəyişikliyinizdən sonra da əlçatmaz qalmalıdır və bu, idarəetmə səhifəsinin yüklənməsindən ayrı bir iddiadır. Hər iki nəticəni yazın, çünki ikincisi atlanan və laboratoriya böyüdükcə əhəmiyyət kəsb edən nəticədir.

Saxlanılacaq qeyd qısadır: idarəetmə ünvanı və xidməti, hər tərəfin ehtiyac duyduğu marşrut, ona çatmağa icazə verilən kimliklər və bərpa yolu. Bu, növbəti şəxsin işlək vəziyyəti yenidən çıxarmadan təkrar yaratması üçün kifayətdir.

Bütün bunlardan sonra səhifə hələ də vaxt aşımına uğrayırsa, başqa qayda dəyişməzdən əvvəl hipervayzerdə tutma aparın və paketi axtarın. Heç gəlməyən paket marşrutlaşdırma və ya firewall sualıdır; gəlib rədd edilən paket xidmət və ya siyasət sualıdır; gəlib cavablandırılan, müştəri isə gözləyən paket qayıdış yolu sualıdır. strongSwan yönləndirmə sənədləri Linux şlüzünün tunel trafikini daxili hosta necə yönləndirdiyini əhatə edir. Üç tutma bir daha çox təxmindən yaxşıdır.