Pam mae eich VPN gwestai yn methu y tu ôl i NAT VirtualBox?

Mae porwr y tu mewn i'r peiriant rhithwir yn gweithio, ac ni all cleient VPN ar yr un gwestai gario data. Mae gan y gwestai gysylltedd yn amlwg, felly mae'r methiant yn yr hyn y mae protocol allanol y VPN ei angen a'r hyn y bydd y NAT rhithwir yn ei basio. Mae tair amod yn penderfynu'r canlyniad: pa broses sy'n berchen ar y VPN, sut mae'r cyfnewid allanol yn edrych ar y weiren, ac a yw modd yr addasydd yr un yr ydych chi'n ei feddwl. Enwi'r amod y gallwch ei newid yw'r penderfyniad cyfan.

Dewch o hyd i broses y VPN cyn beio'r rhwydwaith

Penderfynwch yn gyntaf a yw'r VPN yn rhedeg y tu mewn i'r gwestai neu ar y gwesteiwr, oherwydd mae'r ddau drefniad yn methu'n wahanol. Mae cleient y tu mewn i'r gwestai yn adeiladu ei gysylltiad allanol ei hun trwy addasydd y gwestai a pha bynnag gyfieithiad sydd y tu ôl iddo. Mae VPN gwesteiwr yn dal traffig y gwestai yn ôl polisi'r gwesteiwr a'r hypervisor, sef pwynt dal ar wahân gyda'i reolau ei hun. Gallant redeg ar unwaith a chymysgu'r dystiolaeth, felly nodwch yr un sydd i fod i gario'r traffig hwn cyn cyffwrdd ag unrhyw un.

Nodwch fodd addasydd y gwestai nawr, cyn newid unrhyw beth. Mae'r un gwerth hwnnw'n esbonio'r rhan fwyaf o'r hyn sy'n dilyn, a hwn yw'r peth cyntaf y bydd unrhyw un yn gofyn i chi amdano'n ddiweddarach.

Y cyfnewid allanol sy'n penderfynu cydnawsedd

Mae canllaw rhwydweithio VirtualBox yn rhestru cyfyngiadau NAT sy'n bwysig yma: ni fydd yn pasio protocolau heblaw TCP ac UDP, mae GRE yn cael ei enwi fel un heb ei gefnogi, a rhoddir PPTP fel enghraifft yr effeithir arni. Mae PPTP yn defnyddio cyfnewid rheoli TCP a GRE ar gyfer y data, felly gall y cysylltiad rheoli lwyddo tra na all llwybr y data groesi'r un ffin. Mae'r rhain yn ddwy dystiolaeth wahanol, a dim ond un ohonynt sy'n ymwneud â chario traffig. Nid yw caniatáu port TCP 47 mewn rheol wal dân yr un peth â chaniatáu protocol IP 47, ac mae'r ddau yn cael eu cymysgu'n gyson.

Cadwch y cyfyngiad ynghlwm wrth y trefniad NAT hwn yn hytrach nag wrth bob dyfais sy'n defnyddio'r gair NAT. Gall llwybrydd corfforol basio GRE heb gŵyn tra bod y NAT rhithwir yn ei ollwng, ac mae hypervisor gwahanol yn gwneud ei ddewis ei hun ynghylch beth mae'n ei anfon ymlaen. Lle mae'r sefydliad yn cynnig cludiant cymeradwy o fewn TCP neu UDP, defnyddiwch ei gleient a'i broffil a gefnogir ar gyfer y llwybr hwnnw. Mae cydnawsedd yn un gofyniad ymhlith sawl un, ac nid yw'n sefydlu na hyder y gweinydd na chaniatâd y cyfrif na llwybrau preifat sy'n gweithio.

Beth mae pontio yn ei newid mewn gwirionedd

Mae pont yn rhoi cyfeiriad MAC y gwestai i'r segment corfforol yn lle ei guddio y tu ôl i gyfieithiad. Yna mae'r gwestai'n cymryd cyfeiriad gan pa bynnag weinydd DHCP sy'n gwasanaethu'r segment hwnnw, yn ateb ARP ar gyfer y cyfeiriad hwnnw, ac yn ymddangos i'r switsh uwch fel un port arall. Mae hynny'n tynnu'r llwybr cyfieithu rhithwir, sef yn union pam mae hen rysáit yn ei argymell, ac mae'n newid tri pheth arall ar yr un pryd. Daw'r cyfeirio nawr o'r segment lleol yn hytrach na'r hypervisor, mae dod i'r amlwg yn golygu bod y gwestai'n weladwy i'r segment hwnnw, ac mae derbyn yn dibynnu ar borth y switsh a'i bolisi. Gall pob un o'r rhain fod yn rheswm dros wrthod y newid, ac nid oes yr un ohonynt yn ymwneud â phrotocol y VPN.

Nid yw pontio'n gosod ategyn coll, nac yn cyflenwi asiant cyfrinachol sydd ddim ar gael, nac yn atgyweirio gwrthodiad dilysu. Nid yw chwaith yn gwneud protocol darfodedig yn ddewis da, a lle mae gan y gweithredwr amnewidiad a gynhelir, hwnnw yw'r penderfyniad yn hytrach na newid y hypervisor. Mae anfon porth ymlaen yn drydydd rôl hollol: mae'n cyhoeddi gwasanaeth sy'n dod i mewn ac yn gwneud dim i brotocol allanol cleient sy'n mynd allan.

Dau dwnnel, dwy ôl dystiolaeth

Mae angen llwybr defnyddiadwy ar VPN gwestai o ryngwyneb y gwestai i'w gyfoedyn cyn i unrhyw gyfeiriad mewnol neu lwybr preifat fod o bwys. Lle mae VPN gwesteiwr yn bresennol, gall anfon neu rwystro'r cyfnewid allanol hwnnw o dan ei bolisi ei hun, a dim ond ar ôl i'r un allanol lwyddo y mae twnnel mewnol y gwestai yn dechrau. Nid oes modd darllen sylw unrhyw haen o un eicon cysylltiedig nac o gyfeiriad cyhoeddus porwr y gwesteiwr.

Cadwch y neges gwall gyntaf yn hytrach na'r un olaf, oherwydd y methiant cynharaf sy'n enwi'r haen. Newidiwch un trefniad rhwydwaith a gefnogir ar y tro, gyda'r un proffil gwestai a'r un manylion mewngofnodi, fel bod y cymhariaeth yn golygu rhywbeth. Penderfynwch o'r methiant pa gam a dorrodd: integreiddio lleol, cludiant, dilysu, neu gyrchu adnoddau ar ôl i'r twnnel godi. Mae gan bob un ohonynt berchennog gwahanol, a dim ond un ohonynt yn gwestiwn hypervisor.

Pa amod sy'n eich rhwystro mewn gwirionedd

Erbyn hyn mae'r penderfyniad yn culhau i dri chwestiwn â gwahanol atebion. Os yw'r protocol allanol y tu allan i TCP ac UDP, modd y NAT yw'r cyfyngiad, a phontio neu gludiant TCP/UDP cymeradwy yw'r ffordd ymlaen. Os yw'r cyfnewid allanol yn cwblhau ac nad yw llwybr y data, yr un cyfyngiad a welwyd yn yr ail dystiolaeth sydd dan sylw. Os yw'r twnnel yn codi ac nad yw adnoddau'n ateb, mae'r broblem eisoes wedi mynd heibio'r hypervisor i lwybro neu bolisi.

Nodwch yr ateb gyda modd yr addasydd wrth ei ochr, neu bydd y person nesaf yn ailadrodd yr un prynhawn. Profwch y cymhwysiad go iawn a datrys enwau y tu mewn i'r gwestai ar ôl unrhyw gywiriad, yna ailgysylltwch ac arferwch y polisi methiant. Nid yw tudalen we sy'n gweithio trwy'r twnnel yn profi dim ond bod y llwybr gwe yn gweithio, sy'n haeriad llai nag y mae'n teimlo ar y pryd.