Zašto vaš gostujući VPN ne radi iza VirtualBox NAT-a?

Preglednik unutar virtualne mašine radi, a VPN klijent na istom gostu ne može prenositi podatke. Gost očito ima povezanost, pa kvar leži u tome šta vanjski protokol VPN-a zahtijeva i šta će virtualni NAT propustiti. Ishod određuju tri uslova: koji proces posjeduje VPN, kako vanjska razmjena izgleda na žici i da li je način rada adaptera onaj koji mislite. Imenovanje uslova koji možete promijeniti jeste cijela odluka.

Pronađite VPN proces prije nego okrivite mrežu

Prvo odlučite da li VPN radi unutar gosta ili na hostu, jer se dva rasporeda kvare različito. Klijent unutar gosta gradi vlastitu vanjsku vezu kroz adapter gosta i bilo koji prijevod iza njega. Host VPN hvata saobraćaj gosta prema politici hosta i hipervizora, što je odvojena tačka hvatanja s vlastitim pravilima. Mogu raditi istovremeno i zbuniti dokaze, pa identificirajte onaj koji treba da nosi ovaj saobraćaj prije nego što dotaknete bilo koji.

Zapišite način rada adaptera gosta sada, prije nego što bilo šta promijenite. Ta jedna vrijednost objašnjava većinu onoga što slijedi i prva je stvar koju će vam kasnije svako postaviti.

Vanjska razmjena odlučuje o kompatibilnosti

VirtualBox vodič za umrežavanje navodi NAT ograničenja koja su ovdje važna: neće propustiti protokole osim TCP i UDP, GRE je naveden kao nepodržan, a PPTP je dat kao pogođen primjer. PPTP koristi TCP kontrolnu razmjenu i GRE za podatke, pa kontrolna veza može uspjeti dok podatkovna putanja ne može prijeći istu granicu. To su dva različita dokaza i samo jedan od njih se odnosi na nošenje saobraćaja. Dozvoliti TCP port 47 u firewall pravilu nije isto kao dozvoliti IP protokol 47, i to dvoje se stalno miješa.

Držite ograničenje vezano za ovaj NAT raspored, a ne za svaki uređaj koji koristi riječ NAT. Fizički ruter može propustiti GRE bez prigovora dok ga virtualni NAT odbacuje, a drugi hipervizor donosi vlastiti izbor o tome šta prosljeđuje. Gdje organizacija nudi odobreni transport unutar TCP ili UDP, koristite njen podržani klijent i profil za tu putanju. Kompatibilnost je jedan zahtjev među nekoliko i ne uspostavlja ni povjerenje u server, ni dozvolu računa, ni radne privatne rute.

Šta premošćavanje zaista mijenja

Most predaje MAC adresu gosta fizičkom segmentu umjesto da je skriva iza prijevoda. Gost zatim uzima adresu od bilo kojeg DHCP servera koji opslužuje taj segment, odgovara na ARP za tu adresu i pojavljuje se prema uzvodnom prekidaču kao još jedan port. To uklanja putanju virtualnog prijevoda, što je upravo razlog zašto ga stari recept preporučuje, i mijenja još tri stvari u istom trenutku. Adresiranje sada dolazi iz lokalnog segmenta, a ne od hipervizora; izloženost znači da je gost vidljiv tom segmentu; a propuštanje zavisi od porta prekidača i njegove politike. Svako od toga može biti razlog da odbijete promjenu i nijedno nije o VPN protokolu.

Premošćavanje ne instalira nedostajući dodatak, ne isporučuje nedostupnog tajnog agenta i ne popravlja odbijanje autentifikacije. Ono također ne čini zastarjeli protokol dobrim izborom, a gdje operater ima održavanu zamjenu, odluka je upravo ona, a ne promjena hipervizora. Prosljeđivanje porta je potpuno treća uloga: objavljuje dolaznu uslugu i ne čini ništa za vanjski protokol odlaznog klijenta.

Dva tunela, dva traga dokaza

Gostujući VPN treba upotrebljivu putanju od interfejsa gosta do svog partnera prije nego što bilo koja unutrašnja adresa ili privatna ruta bude važna. Gdje je prisutan host VPN, on može proslijediti ili blokirati tu vanjsku razmjenu prema vlastitoj politici, a unutrašnji tunel gosta počinje tek nakon što vanjski uspije. Pokrivenost nijednog sloja ne može se pročitati s jedne povezane ikone ili s javne adrese preglednika na hostu.

Zadržite prvu poruku o grešci, a ne posljednju, jer najraniji kvar imenuje sloj. Mijenjajte jedan podržani mrežni raspored odjednom, s istim profilom gosta i istim akreditivima, da poređenje nešto znači. Iz kvara odlučite koja se faza pokvarila: lokalna integracija, transport, autentifikacija ili pristup resursima nakon podizanja tunela. Svaka od njih ima drugog vlasnika i samo je jedna hipervizorsko pitanje.

Koji uslov vas zapravo blokira

Sada se odluka sužava na tri pitanja s različitim odgovorima. Ako vanjski protokol stoji izvan TCP i UDP, način rada NAT-a je ograničenje, a naprijed vode premošćavanje ili odobreni TCP/UDP transport. Ako se vanjska razmjena završi, a podatkovna putanja ne, ograničenje je isto ono viđeno u drugom dokazu. Ako se tunel podigne, a resursi ne odgovaraju, problem je već prešao hipervizor u rutiranje ili politiku.

Zapišite odgovor s načinom rada adaptera pored njega, inače sljedeća osoba ponavlja isto poslijepodne. Testirajte stvarnu aplikaciju i razrješavanje imena unutar gosta nakon svake ispravke, zatim se ponovo povežite i isprobajte politiku kvara. Radna web stranica kroz tunel dokazuje samo da web putanja radi, što je manja tvrdnja nego što se u tom trenutku čini.