Hypervisor labordy cartref yn anghyraeddadwy dros VPN: ble i edrych

Mae'r twnnel yn codi, mae tudalen we'r hypervisor yn dod i ben, ac mae'r cleient yn dweud ei fod wedi cysylltu. Mae'r cyfuniad hwnnw'n diystyru llawer iawn: mae'r handshake VPN yn gweithio, mae gan y cleient gyfeiriad, ac mae'r pen draw yn gyrraeddadwy. Yr hyn sy'n weddill yw rhestr fer o gwestiynau llwybro a pholisi, ac mae ganddynt drefn naturiol. Gweithiwch trwyddynt o'r hypervisor tuag allan yn hytrach nag o'r cleient tuag i mewn, oherwydd cyflwr y hypervisor ei hun yw'r peth rhataf i'w gadarnhau.

Dechreuwch gyda'r segment rheoli

Cadarnhewch gyfeiriad rheoli'r hypervisor a'r gwasanaeth sy'n gwrando arno, a chadarnhewch fod y dudalen yn llwytho o westeiwr arall ar y segment hwnnw cyn i chi ddiagnosio unrhyw beth o bell. Nid yw prawf lleol sy'n methu yn broblem VPN, a phrawf pum munud yw sy'n arbed awr.

Yna'r ddau lwybr. Mae ar y cleient VPN angen llwybr i'r rhwydwaith rheoli, sy'n golygu'n aml fod AllowedIPs y cleient neu'r llwybrau a wthiwyd yn cynnwys yr is-rwydwaith honno. Mae ar yr hypervisor, neu ei borth arferol, angen llwybr dychwelyd i bwll cyfeiriadau'r cleient, oni bai bod y dyluniad yn cyfieithu'r ffynhonnell yn fwriadol ar y ffordd i mewn. Mae'r rhain yn ddau ffaith ar wahân ac mae colli'r naill neu'r llall yn rhoi'r un terfyn amser. Gwiriwch hwy ar wahân: ip route get 192.168.10.20 ar y cleient, a chipolwg ar westeiwr y hypervisor yn dangos a gyrhaeddodd y pecyn o gwbl.

Caniatéwch y gweinyddwr anghysbell go iawn

Mae awdurdodi yn gwestiwn ar wahân i gyrraeddadwyedd. Defnyddiwch bolisi porth a gwesteiwr sydd wedi'i gyfyngu i'r ffynonellau a'r gwasanaethau sydd angen mynediad rheoli. Ni ddylai cyfrif VPN gwestai sydd angen un ap labordy gyrraedd y plân rheoli drwy hynny, a rheol wastad sy'n derbyn is-rwydwaith gyfan y twnnel yw sut mae hynny'n digwydd.

Cadwch ddilysiad y hypervisor ei hun a'r gwiriadau tystysgrif ymlaen. Nid yw llwybr preifat yn rheswm dros glicio trwy rybudd hunaniaeth annisgwyl.

Mae'r rhybudd yn werth ei drin fel darganfyddiad yn hytrach nag fel rhwystr. Os nad yw'r dystysgrif yn cyfateb i'r enw a ddefnyddiwyd gennych, naill ai mae'r enw'n anghywir neu nid y gwasanaeth yw'r un rydych chi'n ei feddwl, ac mae'r ddau ateb yn bwysicach ar ryngwyneb rheoli nag yn unrhyw le arall. Cyrhaeddwch y dudalen dan yr enw y cafodd y dystysgrif ei dyroddi ar ei gyfer, a gadewch i DNS bwyntio'r enw hwnnw at gyfeiriad y twnnel. Mae enw preifat sy'n datrys yn anghyson rhwng y LAN a'r twnnel yn achos cyffredin o gwynion tystysgrif sy'n edrych fel diffygion VPN.

Gwiriwch gysylltiadau eilaidd

Mae rhai nodweddion yn defnyddio cysylltiadau nad yw'r dudalen we yn eu defnyddio. Gall sesiwn consol, uwchlwytho ISO, dirprwy VNC neu SPICE a sianel ymfudo bob un ddefnyddio porth gwahanol neu gyfeiriad gwesteiwr gwahanol. Pan fydd y dudalen yn llwytho ac un nodwedd yn methu, darllenwch ofyniad y cynnyrch hwnnw yn hytrach nag agor pob porth ar y gwesteiwr.

Agor popeth yw'r ffordd y mae rhyngwyneb rheoli yn mynd yn un heb ei reoli. Mae pob porth ychwanegol yn wrandawr arall i'w gadw wedi'i glytio, ac mae hypervisor yn ddigon ohonynt yn barod. Nodwch y cysylltiad penodol sydd ei angen ar y nodwedd, cadarnhewch ei fod yn gyrraeddadwy drwy'r twnnel, a gadewch y gweddill ar gau. Os yw'r nodwedd yn mynnu cysylltiad uniongyrchol â chyfeiriad gwesteiwr nad yw'n llwybradwy drwy eich twnnel, cyfyngiad dylunio yw hynny i'w osgoi'n fwriadol, nid rheswm i anfon ystod ymlaen.

Cadwch ffordd yn ôl cyn i chi gyffwrdd â'r rhwydwaith

Cyn i chi newid y rhwydwaith rhithwir sy'n cario eich VPN eich hun, cadarnhewch fod gennych ffordd yn ôl leol neu annibynnol.

Mae hyn yn bwysicaf mewn labordy cartref, oherwydd yn aml mae pen draw'r VPN yn beiriant rhithwir ar yr union hypervisor rydych chi'n ceisio ei gyrraedd. Gall newid switsh rhithwir, pont neu reol wal dân o bell ddiddymu'r llwybr rydych chi'n ei ddefnyddio, ac mae'n bosibl y bydd y sesiwn yn para'n ddigon hir i chi ei weld yn digwydd.

Profwch o du allan i'r labordy yn hytrach nag o'r LAN, a gwiriwch y gwrthodiadau yn ogystal â'r caniatadau. Dylai rhwydwaith y dylid aros yn anghyraeddadwy o'r twnnel aros felly ar ôl eich newid, ac mae hynny'n honiad ar wahân i lwytho'r dudalen reoli. Ysgrifennwch y ddau ganlyniad, oherwydd yr ail un yw'r un sy'n cael ei hepgor a'r un sy'n bwysig pan fydd y labordy'n tyfu.

Mae'r cofnod i'w gadw yn fyr: y cyfeiriad a'r gwasanaeth rheoli, y llwybr sydd ei angen ar bob ochr, y hunaniaethau a ganiateir i gyrraedd, a'r llwybr adfer. Mae hynny'n ddigon i'r person nesaf atgynhyrchu'r cyflwr gweithio heb ei ail-ddiddwytho.

Os bydd y dudalen yn dal i ddod i ben ar ôl hyn i gyd, cipolwg ar y hypervisor a chwiliwch am y pecyn cyn i chi newid rheol arall. Mae pecyn nad yw byth yn cyrraedd yn gwestiwn llwybro neu wal dân; mae pecyn sy'n cyrraedd ac yn cael ei wrthod yn gwestiwn gwasanaeth neu bolisi; mae pecyn sy'n cyrraedd ac yn cael ateb tra bo'r cleient yn aros yn gwestiwn llwybr dychwelyd. Mae dogfennaeth anfon ymlaen strongSwan yn esbonio sut mae porth Linux yn anfon traffig twnnel ymlaen i westeiwr mewnol. Mae tri chipolwg yn well nag un dyfaliad arall.