VPN zapnutá, VM nedostupná? Trasa pravděpodobně nikdy nebyla problém

Připojte VPN a vývojová VM, která ještě před minutou odpovídala, ztichne. Zjevný příběh se napíše sám: tunel si vzal trasu, hostitel nyní posílá provoz hosta do podnikové sítě a řešením je přidat statickou trasu nebo přepnout adaptér do režimu mostu. Ten příběh je někdy pravdivý. Ale to není obvyklá příčina a jednání podle něj jako první obvykle rozbije něco jiného.

Síť host-only je softwarová síť, kterou vlastní hostitel a sdílí se svými hosty, oddělená od jakéhokoli fyzického připojení. Nic na vlastním rozhraní klienta VPN tuto síť nemění, takže než se jí dotknete, zjistěte, která ze čtyř vrstev skutečně selhala.

Trasa je obvykle stále lokální

Ptejte se jádra, ne titulní stránky směrovací tabulky. V Linuxu ip route get 192.168.56.10 hlásí přesnou trasu, rozhraní a zdrojovou adresu, které by se použily, což je jiná odpověď než čtení výchozí trasy a hádání. Pokud výstup jmenuje rozhraní host-only, tunel se na této cestě vůbec nepodílí.

Dvě věci to mohou skutečně rozbít a obě jsou problémy adres, ne VPN. Vzdálená podsíť, která se překrývá s prefixem host-only, způsobí, že vyhraje konkrétnější trasa, a klient VPN, který nainstaluje širokou trasu s nižší metrikou, může prefix stáhnout. Obě jsou vidět ve stejném příkazu: rozhraní uvedené ve výstupu bude tunel a oprava patří tomu, kdo ten plán adres vlastní.

Volba trasy a propuštění paketu jsou různá rozhodnutí

To je část, kterou mentální model obvykle vynechává. I s dokonalou lokální trasou může klient VPN paket odmítnout. Mnoho klientů uplatňuje zásadu místního přístupu k síti, která rozhoduje, které cíle jsou povoleny mimo tunel, a připojená podsíť ten seznam automaticky neaktualizuje.

Selhání proto vypadá z pohledu aplikace stejně jako problém směrování a z pohledu klienta úplně jinak. Pokud ip route get uvádí správné rozhraní a spojení přesto vyprší, přestaňte editovat trasy a místo toho si přečtěte dokumentované chování místního přístupu klienta. Někteří klienti nabízejí seznam povolení pro místní podsítě, jiní blokují vše, co není tunel, a další blokují jen tehdy, když je zapnutý kill switch.

Ten rozdíl je důležitý, protože opravy nejsou zaměnitelné. Přidání trasy nemůže uspokojit filtr a vypnutí filtru kvůli dosažení jednoho hosta je mnohem větší rozhodnutí, než symptom naznačuje.

Host má tři způsoby, jak říct ne

Host, který umí prohlížet internet, nic nedokázal o službě, kterou chcete. Naslouchač může být uvnitř hosta svázán s 127.0.0.1, a pak nemůže dorazit žádný požadavek z hostitele, ať je cesta jakkoli dobrá. Ověřte to v hostu pomocí ss -ltn a podívejte se na sloupec místní adresy, nejen na port.

Další je vlastní firewall hosta. Vývojový obraz s restriktivním výchozím nastavením může přijmout pakety hostitele a zahodit je na hranici služby, což vytvoří časový limit, který vypadá přesně jako směrovací černá díra. Nakonec je tu vlastní konfigurace služby: webová aplikace svázaná s konkrétním jménem hostitele nebo seznam povolených adres klientů odmítne požadavek z podsítě host-only, i když dorazí každý paket.

Projděte ty tři body, než zvážíte změnu síťového režimu VM. Každý je menší změna než přestavba připojení hosta a každý má jasný test.

Co je most doopravdy a kolik stojí

Přepnutí adaptéru do režimu mostu není opravou cesty host-only. Je to rozhodnutí umístit hosta do jiné sítě, obvykle fyzické LAN, kde se stane viditelným pro všechno, co tam žije. Může to být přesně to, co chcete. Ale není to to, co dělala původní konfigurace.

Použijte ho, když host skutečně musí být rovnocenným uzlem v té LAN a vystavení je schváleno. Nepoužívejte ho proto, že jedna služba přestala odpovídat, protože změna může hosta přesunout z izolace, která ho činila bezpečným pro vývoj.

Po každé schválené opravě testujte v pevném pořadí: nový požadavek z hostitele na hosta, požadovaný podnikový zdroj přes tunel a zamýšlené odmítnuté chování s vypnutým tunelem. Pokud poslední už neplatí, oprava zašla dál než problém.

Sekce VirtualBoxu o síti host-only popisuje softwarové rozhraní na straně hostitele a jak se liší od připojení mostem, což je reference, kterou se vyplatí přečíst, než budete předpokládat, že jsou oba režimy zaměnitelné.