A yw eich VM yn defnyddio VPN y gwesteiwr? Profwch o fewn y gwestai

Rydych yn gwirio IP cyhoeddus y gwesteiwr, mae'n dangos y VPN, ac rydych yn casglu bod y VM wedi'i chwmpasu. Nid yw'r prawf yn cefnogi'r casgliad hwnnw. Mae gan westai ei dabl llwybro ei hun, ei ddatryswr ei hun a'i ryngwynebau ei hun, ac nid yw cyfeiriad allanfa'r gwesteiwr yn dweud dim amdanynt.

Rhaid cynnal y prawf y tu mewn i'r gwestai, a rhaid iddo enwi'r hyn y mesurodd.

Dechreuwch y tu mewn i'r gwestai, nid ym mhorydd y gwesteiwr

Cofnodwch fodd rhwydwaith yr hypervisor yn gyntaf: NAT, bridged, host-only neu macvtap. Yn y modd NAT mae'r gwesteiwr yn llwybro traffig y gwestai, felly gall tiwnel y gwesteiwr fod yn berthnasol neu beidio yn dibynnu ar sut mae'r cleient yn gosod llwybrau. Yn y modd bridged mae'r gwestai yn gyfoed ar y LAN ffisegol ac nid yw tiwnel y gwesteiwr yn berthnasol. Mae'r ddau fodd hyn yn rhoi atebion cyferbyniol o'r un cyfluniad gwesteiwr.

Ysgrifennwch y modd i lawr cyn i chi newid unrhyw beth, oherwydd mae'n pennu beth all y canlyniad ei olygu.

Gwnewch un cais y gwyddoch ei gyrchfan

Defnyddiwch gais diniwed i wasanaeth sy'n adrodd y cyfeiriad ffynhonnell a welodd. Yna gwiriwch benderfyniad llwybro'r gwestai ar gyfer y gyrchfan honno: ip route get 203.0.113.5 yn argraffu'r rhyngwyneb a'r giât y bydd y gwestai yn eu defnyddio.

Os mai NIC arferol y gwestai yw'r rhyngwyneb, nid yw'r traffig yn mynd trwy diwnel y tu mewn i'r gwestai.

Gall ail addasydd, gosodiad procsi neu gleient VPN ar ochr y gwestai newid yr ateb ar gyfer un cymhwysiad ac nid un arall. Profwch y cymhwysiad rydych chi wir yn malio amdano, nid cais cyffredinol o blisgyn.

Gwiriwch y datryswr ar wahân

Nid yw cyfeiriad allanfa sydd wedi newid yn dweud pa ddatryswr a ymdriniodd â'r enw gwesteiwr. Gofynnwch am yr enw'n benodol gyda'r teclyn sy'n cyd-fynd â'r platfform, a nodwch pa weinydd a atebodd. Mae DNS hollt yn golygu bod gan gwestiwn y datryswr a chwestiwn y llwybro atebion gwahanol.

Gall y ddau hyn wyro i'r naill gyfeiriad neu'r llall, ac yn aml y gwyriad yw'r gwall gwirioneddol.

Ar westeiwr systemd, resolvectl query mae'n enwi'r rhyngwyneb a'r gweinydd DNS y tu ôl i'r ateb. Mae gosodiadau hŷn yn dangos y gweinydd yn allbwn dig — beth bynnag, y pwynt yw gweld pa weinydd a atebodd, nid yn unig a gyrhaeddodd ateb.

Profwch y polisi methiant, nid y llwyddiant yn unig

Os yw'r gofyniad yn un na ddylai unrhyw draffig adael y tu allan i'r tiwnel, nid yw cais llwyddiannus yn profi dim. Defnyddiwch brawf methiant rheoledig a gefnogir gan y cleient: ataliwch y tiwnel yn y ffordd a gefnogir a gwelwch a yw cais newydd gan y gwestai yn cael ei rwystro. Peidiwch â chymryd yn ganiataol bod kill switch cleient y gwesteiwr yn cwmpasu pob trefniant anfon rhithwir. Ei gwmpas dogfennol yw'r unig beth y gallwch ddibynnu arno.

Mae gwestai sy'n dychwelyd i'r NIC ffisegol pan fydd y tiwnel yn cwympo yn gwneud yn union yr hyn y mae modd NAT yn ei ganiatáu.

Cofnodwch y modd a'r cwmpas

Ysgrifennwch fodd yr hypervisor, rhyngwyneb a llwybr y gwestai, y datryswr, a'r cymhwysiad a brofwyd gennych. Ychwanegwch y dyddiad, oherwydd gall adfer ciplun neu ddiweddariad hypervisor newid y pedwar.

Os dilynodd IPv4 y tiwnel, dywedwch hynny. Peidiwch â lledaenu'r honiad i IPv6, i ofod enwau arall nac i VM arall ar rwydwaith arall.