VirtualBox NAT arxasında qonaq VPN-i niyə uğursuz olur?

Virtual maşının içində brauzer işləyir, amma eyni qonaqda VPN müştərisi məlumat daşıya bilmir. Qonağın əlaqəsi olduğu aydındır, deməli nasazlıq VPN-in xarici protokolunun nəyə ehtiyac duyduğunda və virtual NAT-ın nəyi keçirəcəyindədir. Nəticəni üç şərt həll edir: VPN-i hansı prosesin idarə etdiyi, xarici mübadilənin şəbəkədə necə göründüyü və adapter rejiminin düşündüyünüz rejim olub-olmadığı. Dəyişə bildiyiniz şərti adlandırmaq bütün qərardır.

Şəbəkəni günahlandırmadan əvvəl VPN prosesini tapın

Əvvəlcə VPN-in qonağın içində, yoxsa hostda işlədiyini müəyyənləşdirin, çünki iki quruluş fərqli şəkildə uğursuz olur. Qonağın içindəki müştəri öz xarici bağlantısını qonaq adapteri və onun arxasındakı istənilən tərcümə vasitəsilə qurur. Host VPN-i qonağın trafikini host və hipervisor siyasətinə uyğun tutur; bu, öz qaydaları olan ayrı bir tutma nöqtəsidir. Hər ikisi eyni vaxtda işləyə və sübutları qarışdıra bilər, ona görə heç birinə toxunmadan əvvəl bu trafiki hansının daşımalı olduğunu müəyyən edin.

Qonağın adapter rejimini indi, heç nəyi dəyişməzdən əvvəl yazın. Bu tək dəyər sonrakıların çoxunu izah edir və sonradan hər kəsin sizə verəcəyi ilk sualdır.

Xarici mübadilə uyğunluğu həll edir

VirtualBox şəbəkə bələdçisi burada əhəmiyyətli NAT məhdudiyyətlərini sadalayır: TCP və UDP-dən başqa protokolları keçirmir, GRE dəstəklənməyən kimi göstərilir və PPTP təsirlənən nümunə kimi verilir. PPTP idarəetmə mübadiləsi üçün TCP, məlumat üçün GRE istifadə edir, ona görə idarəetmə bağlantısı uğurlu ola bilər, məlumat yolu isə həmin sərhədi keçə bilməz. Bunlar iki fərqli sübut parçasıdır və yalnız biri trafikin daşınmasına aiddir. Firewall qaydasında TCP portu 47-yə icazə vermək IP protokolu 47-yə icazə verməklə eyni deyil və bu ikisi daim qarışdırılır.

Məhdudiyyəti NAT sözünü işlədən hər cihaza deyil, bu NAT quruluşuna bağlı saxlayın. Fiziki marşrutlaşdırıcı GRE-ni şikayətsiz keçirə bilər, virtual NAT isə onu atır, başqa hipervisor isə nəyi ötürəcəyi barədə öz qərarını verir. Təşkilat TCP və ya UDP daxilində təsdiqlənmiş nəqliyyat təklif edirsə, həmin yol üçün onun dəstəklənən müştərisindən və profilindən istifadə edin. Uyğunluq bir neçə tələbdən biridir və nə server etimadını, nə hesab icazəsini, nə də işləyən şəxsi marşrutları təsdiqləmir.

Körpüləmə həqiqətən nəyi dəyişir

Körpü qonağın MAC ünvanını tərcümənin arxasında gizlətmək əvəzinə fiziki seqmentə verir. Sonra qonaq həmin seqmentə xidmət edən hansı DHCP serveri varsa, ondan ünvan alır, həmin ünvan üçün ARP cavabı verir və yuxarı axındakı kommutatora daha bir port kimi görünür. Bu, virtual tərcümə yolunu aradan qaldırır — köhnə reseptin onu tövsiyə etməsinin səbəbi də məhz budur — və eyni anda daha üç şeyi dəyişir. Ünvanlama artıq hipervisordan deyil, yerli seqmentdən gəlir; məruz qalma qonağın həmin seqmentə görünməsi deməkdir; qəbul isə kommutator portundan və onun siyasətindən asılıdır. Bunların hər biri dəyişikliyi rədd etmək üçün səbəb ola bilər və heç biri VPN protokolu ilə bağlı deyil.

Körpüləmə çatışmayan plagini quraşdırmır, mövcud olmayan gizli agenti təmin etmir və autentifikasiya rəddini düzəltmir. O, köhnəlmiş protokolu yaxşı seçim etmir və operatorun saxlanılan əvəzləyicisi varsa, qərar hipervisoru dəyişmək deyil, məhz həmin əvəzləyicidir. Port yönləndirmə tamamilə üçüncü roldur: gələn xidməti yayımlayır və gedən müştərinin xarici protokolu üçün heç nə etmir.

İki tunel, iki sübut izi

Qonaq VPN-i hər hansı daxili ünvan və ya şəxsi marşrut əhəmiyyət kəsb etməzdən əvvəl qonaq interfeysindən həmkarına işlək yol tələb edir. Host VPN varsa, o, bu xarici mübadiləni öz siyasəti ilə ötürə və ya bloklaya bilər və qonağın daxili tuneli yalnız xarici tunel uğur qazandıqdan sonra başlayır. Heç bir təbəqənin əhatəsi tək bir qoşulmuş ikonadan və ya host brauzerinin ümumi ünvanından oxunmur.

Son deyil, ilk xəta mesajını saxlayın, çünki ən erkən nasazlıq təbəqəni adlandırır. Bir dəfəyə bir dəstəklənən şəbəkə quruluşunu dəyişin, eyni qonaq profili və eyni etimadnamələrlə, ki müqayisə məna daşısın. Nasazlıqdan hansı mərhələnin pozulduğunu qərar verin: yerli inteqrasiya, nəqliyyat, autentifikasiya və ya tunel qalxdıqdan sonra resurs girişi. Bunların hər birinin fərqli sahibi var və yalnız biri hipervisor sualıdır.

Hansı şərt sizi həqiqətən saxlayır

İndi qərar fərqli cavabları olan üç suala daralır. Xarici protokol TCP və UDP-dən kənardırsa, məhdudiyyət NAT rejimidir və irəli yol körpüləmə və ya təsdiqlənmiş TCP/UDP nəqliyyatıdır. Xarici mübadilə tamamlanır, məlumat yolu isə yoxsa, məhdudiyyət ikinci sübutda görünən eyni məhdudiyyətdir. Tunel qalxır və resurslar cavab vermirsə, problem artıq hipervisordan keçib marşrutlaşdırmaya və ya siyasətə keçib.

Cavabı adapter rejimi ilə yanaşı yazın, yoxsa növbəti şəxs eyni günortanı təkrarlayar. Hər hansı düzəlişdən sonra qonağın içində real tətbiqi və ad həllini yoxlayın, sonra yenidən qoşulun və nasazlıq siyasətini tətbiq edin. Tuneldən keçən işlək veb səhifə yalnız veb yolunun işlədiyini sübut edir, bu isə o anda göründüyündən daha kiçik bir iddiadır.