Hipervizor kućne laboratorije nedostupan preko VPN-a: gdje pogledati

Tunel se podiže, web stranica hipervizora ističe, a klijent kaže da je povezan. Ta kombinacija isključuje iznenađujuće mnogo: VPN rukovanje radi, klijent ima adresu, a krajnja tačka je dostupna. Ostaje kratka lista pitanja o rutiranju i politici, i ona imaju prirodan redoslijed. Radite ih od hipervizora prema van, a ne od klijenta prema unutra, jer je vlastito stanje hipervizora najjeftinije potvrditi.

Počnite sa segmentom upravljanja

Potvrdite adresu upravljanja hipervizora i servis koji na njoj sluša, i potvrdite da se stranica učitava s drugog hosta u tom segmentu prije nego što bilo šta dijagnostikujete na daljinu. Lokalni test koji ne uspije nije VPN problem i to je petominutna provjera koja štedi sat.

Zatim dvije rute. VPN klijentu je potrebna ruta do mreže upravljanja, što obično znači da AllowedIPs klijenta ili gurnute rute uključuju tu podmrežu. Hipervizoru ili njegovom podrazumijevanom gatewayu potrebna je povratna putanja do pula adresa klijenata, osim ako dizajn namjerno ne prevodi izvor na ulazu. To su dvije odvojene činjenice i nedostatak bilo koje daje isti istek. Provjerite ih odvojeno: ip route get 192.168.10.20 na klijentu i snimak na hostu hipervizora koji pokazuje da li je paket uopšte stigao.

Dozvolite stvarnog udaljenog administratora

Autorizacija je odvojeno pitanje od dostupnosti. Koristite politiku gatewaya i hosta ograničenu na izvore i servise kojima je potreban pristup upravljanju. Gostujući VPN račun kojem treba jedna laboratorijska aplikacija ne bi trebao time stizati do ravni upravljanja, a plosnato pravilo koje propušta cijelu podmrežu tunela je način na koji se to dešava.

Držite uključenu vlastitu autentifikaciju hipervizora i provjere certifikata. Privatna ruta nije razlog da kliknete kroz neočekivano upozorenje o identitetu.

Upozorenje vrijedi tretirati kao nalaz, a ne kao prepreku. Ako se certifikat ne poklapa s imenom koje ste koristili, ili je ime pogrešno ili servis nije onaj koji mislite, i oba odgovora su važnija na interfejsu upravljanja nego bilo gdje drugdje. Stignite do stranice pod imenom za koje je certifikat izdat i pustite DNS da to ime usmjeri na adresu tunela. Privatno ime koje se između LAN-a i tunela rješava nedosljedno je čest uzrok žalbi na certifikate koje izgledaju kao VPN kvarovi.

Provjerite sekundarne veze

Neke funkcije koriste veze koje web stranica ne koristi. Konzolna sesija, otpremanje ISO-a, VNC ili SPICE proxy i kanal migracije mogu svaki koristiti drugi port ili drugu adresu hosta. Kada se stranica učita i jedna funkcija ne uspije, pročitajte zahtjev tog proizvoda umjesto da otvorite svaki port na hostu.

Otvaranje svega je način na koji interfejs upravljanja postaje neupravljiv. Svaki dodatni port je još jedan slušalac koji treba održavati, a hipervizor ih već izlaže dovoljno. Identifikujte konkretnu vezu koja je potrebna funkciji, potvrdite da je dostupna kroz tunel i ostavite ostalo zatvoreno. Ako funkcija insistira na direktnoj vezi s adresom hosta koja se ne može rutirati kroz vaš tunel, to je dizajnersko ograničenje koje treba namjerno zaobići, a ne razlog da proslijedite opseg.

Sačuvajte put nazad prije nego što dodirnete mrežu

Prije nego što promijenite virtuelnu mrežu koja nosi vaš vlastiti VPN, potvrdite da imate lokalni ili nezavisni put nazad.

To je najvažnije u kućnoj laboratoriji, jer je krajnja tačka VPN-a često virtuelna mašina na upravo onom hipervizoru kojem pokušavate doći. Promjena virtuelnog prekidača, mosta ili pravila firewall-a na daljinu može ukloniti putanju koju koristite, a sesija može preživjeti dovoljno dugo da to vidite.

Testirajte spolja iz laboratorije, a ne iz LAN-a, i provjerite odbijanja kao i dozvole. Mreža koja treba ostati nedostupna iz tunela treba ostati takva i nakon vaše promjene, i to je odvojena tvrdnja od učitavanja stranice upravljanja. Zapišite oba rezultata, jer drugi se preskače i on je važan kada laboratorija poraste.

Zapis koji treba čuvati je kratak: adresa i servis upravljanja, ruta potrebna svakoj strani, identiteti kojima je dozvoljeno da stignu i putanja oporavka. To je dovoljno da sljedeća osoba reprodukuje radno stanje bez ponovnog izvođenja.

Ako stranica i nakon svega toga ističe, snimite na hipervizoru i potražite paket prije nego što promijenite još jedno pravilo. Paket koji nikada ne stigne je pitanje rutiranja ili firewall-a; paket koji stigne i bude odbijen je pitanje servisa ili politike; paket koji stigne i dobije odgovor dok klijent čeka je pitanje povratne putanje. Dokumentacija strongSwan-a o prosljeđivanju objašnjava kako Linux gateway prosljeđuje saobraćaj tunela unutrašnjem hostu. Tri snimka pobjeđuju još jednu pretpostavku.