Používá virtuální stroj Hyper-V VPN hostitele? Záleží na přepínači

Nainstalujte VPN klienta na hostitele Hyper-V, otevřete tam prohlížeč a výstupní adresa se změní; otevřete stejnou stránku uvnitř virtuálního stroje a může ukázat starou adresu, nebo nic. Obvyklý závěr je, že je virtuální stroj rozbitý, nebo že je nutné zapnout rozdělené tunelování. Ani jedno neplatí. VPN klient není vlastností stroje; je to sada tras, virtuální adaptér a často filtr navázaný na konkrétní rozhraní. Zda se provoz hosta vůbec s tímto ústrojím setká, závisí na virtuálním přepínači, který host používá.

Mýtus, řečeno přímo

Přesvědčení je, že VPN nainstalovaná na hostiteli chrání celý stroj včetně virtuálních strojů, protože virtuální stroj je jen proces běžící na tom stroji. Je to pohodlné přesvědčení, protože antivirus a firewally hostitele se obvykle chovají právě tak. Síťové cesty ne.

Rámce hosta se VPN zásobník hostitele dotkne jen tehdy, když je hostitel směruje nebo filtruje. Napište si tu větu na lepící poznámku, protože každý případ níže je její variací.

Tři typy přepínačů, tři cesty

Externí přepínač váže virtuální adaptér na fyzickou síťovou kartu a host posílá rámce přes tuto vazbu se svou vlastní MAC adresou. Host se stává rovnocenným účastníkem fyzické sítě s vlastním DHCP pronájmem, bránou a servery DNS. Výchozí trasa VPN hostitele žije v zásobníku hostitele a tyto rámce neposouvá, protože se přemosťují, nikoli směrují přes hostitele. Proto je také externí přepínač nad adaptérem Wi-Fi špatný nápad: většina bezdrátových ovladačů nepřenáší rámce pro druhou MAC adresu.

Interní přepínač připojuje hosty k virtuálnímu adaptéru hostitele. Sám o sobě neposkytuje žádný internetový výstup; objekt NAT na hostiteli zajišťuje překlad, jak je popsáno v průvodci Hyper-V pro NAT. Nyní pakety hosta skutečně vstupují do směrování a cesty NAT hostitele, takže trasy a filtry VPN klienta znovu hrají roli. To je uspořádání, v němž virtuální stroj skutečně následuje VPN hostitele a v němž může kill switch hosta úplně odříznout.

Soukromý přepínač nemá adaptér hostitele ani připojení nahoru. Hosté mluví jen mezi sebou a s ničím jiným, takže pokud virtuální stroj na soukromém přepínači nemá internet, chybějící router je příčina a VPN s tím nemá nic společného.

Výchozí přepínač je samostatné uspořádání

Windows dodává výchozí přepínač, který kombinuje interní přepínač s NAT a proxy DNS. Jeho podsíť vybírá hostitel, může se po restartu změnit a není totožný s objektem sítě NAT, kterou si vytvoříte sami. Přestavět ho, jako by šlo o laboratorní síť, je způsob, jak lidé skončí se dvěma NAT a hostem, který stále nemá trasu.

Pokud virtuální stroj sedí na výchozím přepínači, přečtěte adresu, kterou host dostal, a porovnejte ji s tabulkou NAT hostitele, než sáhnete na VPN klienta. Nesoulad mezi bránou hosta a prefixem NAT vysvětluje více selhání než jakékoli nastavení klienta.

Čtyři fakta, která otázku vyřeší

Než cokoli změníte, shromážděte toto: typ přepínače a jeho připojení nahoru, adaptér připojený k virtuálnímu stroji, vlastní adresu hosta, bránu a DNS a stav NAT a výchozí trasy na hostiteli. Příkazy pouze pro čtení jsou Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat, a Get-NetRoute -DestinationPrefix 0.0.0.0/0; a uvnitř hosta ipconfig /all dává zbytek.

Pak rozhodněte, co má host dělat. Pokud má zůstat mimo VPN, získejte poskytovatelem podporovanou výjimku přesně pro tuto cestu, protože vyloučení spustitelného souboru hostitele nevyjímá přeposílaný provoz virtuálního stroje. Pokud má VPN používat, ověřte, jak klient podle dokumentace zachází s provozem virtuálních strojů, místo abyste předpokládali, že test v prohlížeči hostitele to pokrývá.

Test uvnitř hosta je jediný důkaz, který se počítá. Zkontrolujte výstupní adresu z hosta, přeložte interní název, znovu připojte VPN a opakujte. Výsledek v prohlížeči hostitele nic z toho nenahrazuje.

Co mýtus stojí

Lidé vypínají kill switch, přidávají statické trasy nebo mažou a znovu vytvářejí přepínače jen aby test prošel. Každá zkratka mění způsob selhání: host může dosáhnout internetu cestou, kterou nikdo nezamýšlel, nebo hostitel může ztratit připojení, když externí přepínač znovu naváže svůj fyzický adaptér.

Opětovné navázání externího přepínače přeruší vlastní přístup hostitele, proto udržujte otevřenou mimopásmovou cestu a neodstraňujte přepínače, dokud ještě diagnostikujete. Správným výsledkem je zamýšlená cesta hosta, včetně toho, jak se znovu připojuje a jak selhává, ne zelená fajfka z jednoho načtení stránky.

Trvalá odpověď je jeden řádek na virtuální stroj v inventáři: který přepínač používá a která komponenta mu dodává bránu. Když je to zapsané, další změna VPN je vyhledání v záznamu, ne odpoledne hádání.