VPN açıqdır, VM əlçatmazdır? Marşrut çox güman ki problem deyildi

VPN-i qoşun, və bir dəqiqə əvvəl cavab verən inkişaf VM-i susur. Aşkar hekayə özünü yazır: tunel marşrutu tutdu, host indi qonaq trafikini korporativ şəbəkəyə göndərir, və həll statik marşrut əlavə etmək və ya adapteri körpü rejiminə keçirməkdir. Bu hekayə bəzən doğrudur. Lakin bu adi səbəb deyil və ilk növbədə ona əsaslanmaq adətən başqa bir şeyi pozur.

Host-only şəbəkə hostun sahib olduğu və qonaqları ilə paylaşdığı, hər hansı fiziki qoşulmadan ayrı proqram şəbəkəsidir. VPN müştərisinin öz interfeysində heç nə o şəbəkəni dəyişmir, ona görə ona toxunmazdan əvvəl dörd qatdan hansının həqiqətən uğursuz olduğunu öyrənin.

Marşrut adətən yenə yerli qalır

Marşrut cədvəlinin ilk səhifəsi yerinə kerneldən soruşun. Linuxda ip route get 192.168.56.10 istifadə olunacaq dəqiq marşrutu, interfeysi və mənbə ünvanını göstərir ki, bu da defolt marşrutu oxuyub təxmin etməkdən fərqli cavabdır. Əgər çıxış host-only interfeysini adlandırırsa, tunel o yolda heç iştirak etmir.

İki şey onu həqiqətən poza bilər və hər ikisi VPN problemi deyil, ünvan problemidir. Host-only prefiksi ilə üst-üstə düşən uzaq alt şəbəkə daha konkret marşrutun qalib gəlməsinə səbəb olur, daha aşağı metriklə geniş marşrut quraşdıran VPN müştərisi isə prefiksi uzaqlaşdıra bilər. Hər ikisi eyni əmrdə görünür: çıxışda adlandırılan interfeys tunel olacaq və düzəliş o ünvan planına sahib olanın işidir.

Marşrut seçimi və paket qəbulu fərqli qərarlardır

Bu, zehni modelin adətən qaçırdığı hissədir. Mükəmməl yerli marşrutla belə, VPN müştərisi paketi rədd edə bilər. Bir çox müştəri tuneldən kənarda hansı təyinatların icazəli olduğunu müəyyən edən yerli şəbəkə giriş siyasəti tətbiq edir və qoşulmuş alt şəbəkə həmin siyahını avtomatik yeniləmir.

Beləliklə, nasazlıq tətbiq tərəfindən marşrut problemi ilə eyni görünür, müştəri tərəfindən isə tamamilə fərqli. Əgər ip route get düzgün interfeysi adlandırır və bağlantı yenə də vaxt aşımına uğrayırsa, marşrutları redaktə etməyi dayandırın və əvəzinə müştərinin sənədləşdirilmiş yerli giriş davranışını oxuyun. Bəzi müştərilər yerli alt şəbəkələr üçün icazə siyahısı təqdim edir, bəziləri tunel olmayan hər şeyi bloklayır, bəziləri isə yalnız kill switch aktiv olduqda bloklayır.

Bu fərq vacibdir, çünki düzəlişlər bir-birini əvəz etmir. Marşrut əlavə etmək filtri təmin edə bilməz və bir qonağa çatmaq üçün filtri söndürmək simptomun təklif etdiyindən qat-qat böyük qərardır.

Qonağın yox deməyin üç yolu var

İnternetdə gəzə bilən qonaq istədiyiniz xidmət haqqında heç nə sübut etməyib. Dinləyici qonağın içində 127.0.0.1 ünvanına bağlanmış ola bilər; bu halda yol nə qədər yaxşı olsa da, hostdan heç bir sorğu gələ bilməz. Qonaqda ss -ltn ilə yoxlayın və yalnız porta deyil, yerli ünvan sütununa baxın.

Növbəti qonağın öz firewall-dır. Məhdudlaşdırıcı defolt ilə inkişaf obrazı hostun paketlərini qəbul edib onları xidmət sərhədində ata bilər ki, bu da marşrut qara dəliyi kimi görünən vaxt aşımı yaradır. Nəhayət, xidmətin öz konfiqurasiyası var: müəyyən host adına bağlanmış veb tətbiq və ya müştəri ünvanlarının icazə siyahısı, hər paket gəlsə də host-only alt şəbəkəsindən gələn sorğunu rədd edəcək.

VM-in şəbəkə rejimini dəyişməyi düşünməzdən əvvəl bu üçünü işləyin. Hər biri qonağın qoşulmasını yenidən arxitektura etməkdən kiçik dəyişiklikdir və hər birinin aydın testi var.

Körpü əslində nədir və nəyə başa gəlir

Adapteri körpü rejiminə keçirmək host-only yolunun təmiri deyil. Bu, qonağı başqa şəbəkəyə, adətən fiziki LAN-a yerləşdirmək qərarıdır və orada həmin şəbəkədə yaşayan hər şeyə görünən olur. Bu, tam istədiyiniz şey ola bilər. Amma ilkin konfiqurasiyanın etdiyi iş bu deyildi.

Ondan yalnız qonaq həqiqətən həmin LAN-da peer olmalıdırsa və məruz qalma təsdiqlənibsə istifadə edin. Tək bir xidmət cavab verməyi dayandırdığı üçün ondan istifadə etməyin, çünki dəyişiklik qonağı onu inkişaf üçün təhlükəsiz edən təcriddən çıxara bilər.

Hər hansı təsdiqlənmiş düzəlişdən sonra sabit ardıcıllıqla test edin: hostdan qonağa yeni sorğu, tunel vasitəsilə tələb olunan korporativ resurs və tunel söndürülmüş halda nəzərdə tutulan rədd davranışı. Əgər sonuncu artıq keçərli deyilsə, düzəliş problemdən kənara çıxıb.

VirtualBox-un host-only şəbəkə bölməsi host tərəfindəki proqram interfeysini və onun körpü qoşulmasından necə fərqləndiyini təsvir edir; iki rejimin bir-birini əvəz etdiyini düşünməzdən əvvəl oxunmağa dəyər mənbə budur.