Гіпервізар хатняй лабараторыі недаступны праз VPN: дзе шукаць

Тунэль узнімаецца, вэб-старонка гіпервізара выходзіць па тайм-аўце, а кліент кажа, што падключаны. Гэтая камбінацыя выключае на дзіва шмат: рукапоціск VPN працуе, у кліента ёсць адрас, і канчатковы пункт даступны. Застаецца кароткі спіс пытанняў маршрутызацыі і палітыкі, і ў іх ёсць натуральны парадак. Ідзіце па ім ад гіпервізара вонкі, а не ад кліента ўнутр, бо ўласны стан гіпервізара — самае таннае, што можна пацвердзіць.

Пачніце з сегмента кіравання

Пацвердзіце адрас кіравання гіпервізара і службу, якая слухае на ім, і пацвердзіце, што старонка загружаецца з іншага хоста ў гэтым сегменце, перш чым дыягнаставаць што-небудзь аддалена. Лакальны тэст, які правальваецца, — не праблема VPN, і гэта пяціхвілінная праверка, якая эканоміць гадзіну.

Затым два шляхі. Кліенту VPN патрэбен маршрут да сеткі кіравання, што звычайна азначае, што AllowedIPs кліента або прасунутыя маршруты ўключаюць гэтую падсетку. Гіпервізару або яго шлюзу па змаўчанні патрэбен зваротны шлях да пула адрасоў кліентаў, калі толькі дызайн наўмысна не трансліруе крыніцу на ўваходзе. Гэта два асобныя факты, і адсутнасць любога з іх дае той жа тайм-аўт. Праверце іх асобна: ip route get 192.168.10.20 на кліенце і захоп на хосце гіпервізара, які пакажа, ці прыйшоў пакет наогул.

Дазвольце фактычнаму аддаленаму адміністратару

Аўтарызацыя — асобнае пытанне ад дасягальнасці. Выкарыстоўвайце палітыку шлюза і хоста, абмежаваную крыніцамі і службамі, якім патрэбен доступ да кіравання. Гасцявы акаўнт VPN, якому патрэбна адна лабараторная праграма, не павінен праз гэта дасягаць плоскасці кіравання, і плоскае правіла, якое дапускае ўсю падсетку тунэля, — гэта як гэта адбываецца.

Трымайце ўключанымі ўласную аўтэнтыфікацыю гіпервізара і праверкі сертыфіката. Прыватны маршрут — не прычына праходзіць праз нечаканае папярэджанне ідэнтычнасці.

Да папярэджання варта ставіцца як да знаходкі, а не як да перашкоды. Калі сертыфікат не адпавядае імені, якое вы выкарысталі, то ці імя няправільнае, ці служба не тая, пра якую вы думаеце, і абодва адказы важнейшыя на інтэрфейсе кіравання, чым дзе-небудзь яшчэ. Дасягайце старонкі па імені, для якога выдадзены сертыфікат, і няхай DNS накіроўвае гэтае імя на адрас тунэля. Прыватнае імя, якое непаслядоўна развязаецца паміж LAN і тунэлем, — частая прычына скаргаў на сертыфікаты, якія выглядаюць як збоі VPN.

Праверце другасныя злучэнні

Некаторыя функцыі выкарыстоўваюць злучэнні, якіх няма ў вэб-старонцы. Сеанс кансолі, загрузка ISO, проксі VNC або SPICE і канал міграцыі могуць выкарыстоўваць розны порт або розны адрас хоста. Калі старонка загружаецца, а адна функцыя не працуе, чытайце патрабаванне гэтага прадукту, а не адкрывайце кожны порт на хосце.

Адкрыццё ўсяго — гэта як інтэрфейс кіравання становіцца некіраваным. Кожны дадатковы порт — яшчэ адзін слухач, які трэба трымаць абноўленым, а гіпервізар і так адкрывае іх дастаткова. Вызначце канкрэтнае злучэнне, якое патрэбна функцыі, пацвердзіце, што яно дасягальнае праз тунэль, і пакіньце астатнія закрытымі. Калі функцыя настойвае на прамым злучэнні з адрасам хоста, які не маршрутызуецца праз ваш тунэль, гэта абмежаванне дызайну, якое трэба наўмысна абыйсці, а не прычына перанакіроўваць дыяпазон.

Трымайце шлях назад, перш чым кранаць сетку

Перш чым змяніць віртуальную сетку, якая нясе ваш уласны VPN, пацвердзіце, што ў вас ёсць лакальны або незалежны шлях назад.

Гэта найбольш важна ў хатняй лабараторыі, бо канчатковы пункт VPN часта з'яўляецца віртуальнай машынай на тым самым гіпервізары, да якога вы спрабуеце дасягнуць. Змена віртуальнага камутатара, моста або правіла міжсеткавага экрана аддалена можа выдаліць шлях, які вы выкарыстоўваеце, і сеанс можа пратрымацца дастаткова доўга, каб убачыць, як гэта адбываецца.

Тэстуйце звонку лабараторыі, а не з LAN, і правярайце адмовы гэтак жа, як дазволы. Сетка, якая павінна заставацца недасягальнай з тунэля, павінна заставацца недасягальнай і пасля вашай змены, і гэта асобнае сцвярджэнне ад загрузкі старонкі кіравання. Запішыце абодва вынікі, бо другі — гэта той, які прапускаюць і які мае значэнне, калі лабараторыя расце.

Запіс, які трэба захаваць, кароткі: адрас кіравання і служба, маршрут, патрэбны кожнаму боку, ідэнтычнасці, якім дазволены доступ, і шлях аднаўлення. Гэтага дастаткова, каб наступны чалавек узнавіў працоўны стан без паўторнага вываду.

Калі пасля ўсяго гэтага старонка ўсё яшчэ выходзіць па тайм-аўце, зрабіце захоп на гіпервізары і пашукайце пакет, перш чым змяніць яшчэ адно правіла. Пакет, які ніколі не прыходзіць, — пытанне маршрутызацыі або міжсеткавага экрана; пакет, які прыходзіць і адхіляецца, — пытанне службы або палітыкі; пакет, які прыходзіць і атрымлівае адказ, пакуль кліент чакае, — пытанне зваротнага шляху. Дакументацыя strongSwan пра перанакіраванне апісвае, як шлюз Linux перанакіроўвае трафік тунэля да ўнутранага хоста. Тры захопы лепш за яшчэ адну здагадку.