VPN уключаны, ВМ недасяжная? Маршрут, хутчэй за ўсё, ніколі не быў праблемай

Падключыце VPN, і распрацоўчая ВМ, якая адказвала хвіліну таму, змаўкае. Відавочная гісторыя напісваецца сама: тунель забраў маршрут, хост цяпер накіроўвае гасцявы трафік у карпаратыўную сетку, і рашэнне — дадаць статычны маршрут або пераключыць адаптар у рэжым моста. Гэтая гісторыя часам праўдзівая. Але гэта не звычайная прычына, і дзеянне па ёй у першую чаргу звычайна ламае нешта іншае.

Сетка host-only — гэта праграмная сетка, якой валодае хост і якую ён дзеліць са сваімі гасцямі, асобна ад любога фізічнага падключэння. Нішто ва ўласным інтэрфейсе кліента VPN не змяняе гэтую сетку, таму перад тым як яе чапаць, высветліце, які з чатырох узроўняў сапраўды адмовіў.

Маршрут звычайна ўсё яшчэ лакальны

Спытайце ядро, а не першую старонку табліцы маршрутызацыі. У Linux ip route get 192.168.56.10 паказвае дакладны маршрут, інтэрфейс і адрас крыніцы, якія будуць выкарыстаныя, і гэта іншы адказ, чым чытанне маршруту па змаўчанні з здагадкай. Калі вывад называе інтэрфейс host-only, тунель зусім не ўдзельнічае ў гэтым шляху.

Дзве рэчы могуць сапраўды яго зламаць, і абедзве — праблемы адрасоў, а не VPN. Аддаленая падсетка, якая перакрывае прэфікс host-only, робіць пераможцам больш канкрэтны маршрут, а кліент VPN, які ўсталёўвае шырокі маршрут з ніжэйшай метрыкай, можа адабраць прэфікс. Абодва бачныя ў адной камандзе: інтэрфейс, названы ў вывадзе, будзе тунелем, і выпраўленне належыць таму, хто валодае гэтым планам адрасоў.

Выбар маршруту і допуск пакетаў — розныя рашэнні

Гэта тая частка, якую мысленневая мадэль звычайна прапускае. Нават з ідэальным лакальным маршрутам кліент VPN можа адхіліць пакет. Многія кліенты прытрымліваюцца палітыкі лакальнага доступу да сеткі, якая вырашае, якія прызначэнні дазволеныя па-за тунелем, і падключаная падсетка не абнаўляе гэты спіс аўтаматычна.

Таму збой выглядае ідэнтычна праблеме маршрутызацыі з боку праграмы і цалкам інакш з боку кліента. Калі ip route get называе правільны інтэрфейс, а злучэнне ўсё роўна сканчаецца тайм-аўтам, перастаньце рэдагаваць маршруты і замест гэтага прачытайце дакументаваныя паводзіны лакальнага доступу кліента. Некаторыя кліенты прапануюць спіс дазволаў для лакальных падсетак, некаторыя блакуюць усё, што не з'яўляецца тунелем, а некаторыя блакуюць толькі пры ўключаным kill switch.

Гэтае адрозненне важнае, бо выпраўленні не ўзаемазаменныя. Даданне маршруту не задаволіць фільтр, а адключэнне фільтра дзеля доступу да аднаго госця — значна большае рашэнне, чым падказвае сімптом.

У госця ёсць тры спосабы сказаць не

Госць, які можа глядзець інтэрнэт, нічога не даказвае пра паслугу, якую вы хочаце. Слухач можа быць прывязаны да 127.0.0.1 унутры госця, і тады ніякі запыт з хоста не дасягне яго, наколькі б добрым ні быў шлях. Праверце камандай ss -ltn у госці і паглядзіце на слупок лакальнага адраса, а не толькі на порт.

Далей — уласны міжсеткавы экран госця. Вобраз для распрацоўкі з абмежавальнымі наладамі па змаўчанні можа прыняць пакеты хоста і скінуць іх на мяжы паслугі, што дае тайм-аўт, які выглядае як маршрутная чорная дзірка. Нарэшце, ёсць уласная канфігурацыя паслугі: вэб-праграма, прывязаная да пэўнага імя хоста, або спіс дазволаў адрасоў кліентаў адхіліць запыт з падсеткі host-only, нават калі ўсе пакеты даходзяць.

Прайдзіце гэтыя тры пункты, перш чым думаць пра змену рэжыму сеткі ВМ. Кожнае з іх — меншая змена, чым перабудова падключэння госця, і кожнае мае ясны тэст.

Што такое мост насамрэч і колькі ён каштуе

Пераключэнне адаптара ў рэжым моста — гэта не рамонт шляху host-only. Гэта рашэнне паставіць госця ў іншую сетку, звычайна фізічную лакальную сетку, дзе ён становіцца бачным для ўсяго, што там жыве. Магчыма, гэта менавіта тое, што вы хочаце. Але гэта не тое, што рабіла пачатковая канфігурацыя.

Выкарыстоўвайце яго, калі госць сапраўды павінен быць роўным вузлом у гэтай лакальнай сетцы і ўздзеянне ўзгоднена. Не выкарыстоўвайце яго таму, што адна паслуга перастала адказваць, бо змена можа вывесці госця з ізаляцыі, якая рабіла распрацоўку супраць яго бяспечнай.

Пасля любога ўзгодненага выпраўлення тэстуйце ў фіксаваным парадку: новы запыт ад хоста да госця, патрэбны карпаратыўны рэсурс праз тунель і чаканыя адмоўныя паводзіны пры выключаным тунелі. Калі апошні пункт больш не выконваецца, выпраўленне выйшла за межы праблемы.

Раздзел VirtualBox пра сетку host-only апісвае праграмны інтэрфейс на баку хоста і яго адрозненне ад падключэння праз мост; гэта крыніца, якую варта прачытаць, перш чым лічыць два рэжымы ўзаемазаменнымі.