VPN uključen, VM nedostupan? Ruta vjerovatno nikada nije bila problem

Povežite VPN i razvojna VM koja je prije minutu odgovarala odjednom utihne. Očigledna priča piše se sama: tunel je preuzeo rutu, host sada šalje gost-saobraćaj u korporativnu mrežu, a rješenje je dodati statičku rutu ili prebaciti adapter u bridge režim. Ta priča je ponekad tačna. Ali to nije uobičajen uzrok, a djelovanje po njoj prvo obično pokvari nešto drugo.

Host-only mreža je softverska mreža koju posjeduje host i dijeli sa svojim gostima, odvojena od svakog fizičkog priključka. Ništa u vlastitom interfejsu VPN klijenta ne mijenja tu mrežu, pa prije nego je dotaknete, otkrijte koji je od četiri sloja zaista zakazao.

Ruta je obično i dalje lokalna

Pitajte kernel, a ne prvu stranicu ruting tabele. Na Linuxu ip route get 192.168.56.10 prijavljuje tačnu rutu, interfejs i izvornu adresu koje bi koristio, što je drugačiji odgovor od čitanja default rute i nagađanja. Ako izlaz navodi host-only interfejs, tunel uopšte ne učestvuje u tom putu.

Dvije stvari ga mogu zaista pokvariti i obje su problemi s adresama, a ne s VPN-om. Udaljena podmreža koja se preklapa s host-only prefiksom čini da specifičnija ruta pobijedi, a VPN klijent koji instalira široku rutu s nižom metrikom može povući prefiks. Obje su vidljive u istoj komandi: interfejs naveden u izlazu bit će tunel, a popravka pripada onome ko posjeduje taj plan adresa.

Odabir rute i propuštanje paketa su različite odluke

To je dio koji mentalni model obično propušta. Čak i s savršenom lokalnom rutom, VPN klijent može odbiti paket. Mnogi klijenti primjenjuju politiku lokalnog pristupa mreži koja odlučuje koje su destinacije dozvoljene izvan tunela, a povezana podmreža ne ažurira taj spisak automatski.

Zato kvar izgleda identično problemu s rutiranjem sa strane aplikacije, a potpuno drugačije sa strane klijenta. Ako ip route get navede ispravan interfejs, a veza i dalje istekne, prestanite uređivati rute i umjesto toga pročitajte dokumentovano ponašanje lokalnog pristupa klijenta. Neki klijenti nude spisak dozvola za lokalne podmreže, neki blokiraju sve što nije tunel, a neki blokiraju samo kada je uključen kill switch.

Ta razlika je važna jer popravke nisu zamjenjive. Dodavanje rute ne može zadovoljiti filter, a isključivanje filtera da biste dohvatili jednog gosta mnogo je veća odluka nego što simptom sugeriše.

Gost ima tri načina da kaže ne

Gost koji može pregledati internet nije dokazao ništa o usluzi koju želite. Slušalac može biti vezan na 127.0.0.1 unutar gosta, pa u tom slučaju nijedan zahtjev s hosta ne može stići, koliko god put bio dobar. Provjerite s ss -ltn u gostu i pogledajte kolonu lokalne adrese, a ne samo port.

Sljedeći je gostov vlastiti firewall. Razvojna slika s restriktivnim defaultom može prihvatiti pakete hosta i odbaciti ih na granici usluge, što stvara tajmaut koji izgleda tačno kao ruting crna rupa. Konačno, tu je vlastita konfiguracija usluge: web aplikacija vezana na određeno ime hosta ili spisak dozvola s adresama klijenata odbit će zahtjev iz host-only podmreže čak i kada svaki paket stigne.

Prođite kroz ta tri prije nego što razmislite o promjeni mrežnog režima VM-a. Svaka je manja promjena od preuređenja gostovog priključka i svaka ima jasan test.

Šta bridge zaista jeste i koliko košta

Prebacivanje adaptera u bridge režim nije popravka host-only puta. To je odluka da gosta stavite na drugu mrežu, obično fizički LAN, gdje postaje vidljiv svemu što tamo živi. To može biti tačno ono što želite. Ali to nije ono što je originalna konfiguracija radila.

Koristite ga kada gost zaista treba biti ravnopravan čvor na tom LAN-u i kada je izlaganje odobreno. Ne koristite ga zato što je jedna usluga prestala odgovarati, jer promjena može izmjestiti gosta iz izolacije koja ga je činila sigurnim za razvoj.

Nakon svake odobrene ispravke testirajte fiksnim redoslijedom: novi zahtjev od hosta prema gostu, potreban korporativni resurs kroz tunel i predviđeno odbijeno ponašanje s isključenim tunelom. Ako posljednje više ne vrijedi, ispravka je otišla dalje od problema.

VirtualBoxov odjeljak o host-only mreži opisuje softverski interfejs na strani hosta i kako se razlikuje od bridge priključka, što je referenca koju vrijedi pročitati prije nego pretpostavite da su dva režima zamjenjiva.