Χρησιμοποιεί μια εικονική μηχανή Hyper-V το VPN του κεντρικού υπολογιστή; Εξαρτάται από τον διακόπτη

Εγκαταστήστε έναν πελάτη VPN στον κεντρικό υπολογιστή Hyper-V, ανοίξτε εκεί ένα πρόγραμμα περιήγησης και η διεύθυνση εξόδου αλλάζει· ανοίξτε την ίδια σελίδα μέσα στην εικονική μηχανή και μπορεί να δείξει την παλιά διεύθυνση ή τίποτα απολύτως. Το συνηθισμένο συμπέρασμα είναι ότι η εικονική μηχανή είναι χαλασμένη ή ότι πρέπει να ενεργοποιηθεί η διαχωρισμένη σήραγγα. Κανένα από τα δύο δεν προκύπτει. Ένας πελάτης VPN δεν είναι ιδιότητα της μηχανής· είναι ένα σύνολο διαδρομών, ένας εικονικός προσαρμογέας και συχνά ένα φίλτρο συνδεδεμένο σε συγκεκριμένες διεπαφές. Το αν η κίνηση των επισκεπτών θα συναντήσει ποτέ αυτόν τον μηχανισμό εξαρτάται από τον εικονικό διακόπτη που χρησιμοποιεί ο επισκέπτης.

Ο μύθος, ειπωμένος απλά

Η πεποίθηση είναι ότι ένα VPN εγκατεστημένο στον κεντρικό υπολογιστή προστατεύει ολόκληρη τη μηχανή, μαζί με τις εικονικές μηχανές, επειδή μια εικονική μηχανή είναι απλώς μια διεργασία που εκτελείται σε αυτή τη μηχανή. Είναι μια βολική πεποίθηση, αφού το αντιβιοτικό και τα τείχη προστασίας του κεντρικού υπολογιστή συνήθως συμπεριφέρονται έτσι. Οι διαδρομές δικτύου όχι.

Το πλαίσιο ενός επισκέπτη αγγίζεται από τη στοίβα VPN του κεντρικού υπολογιστή μόνο αν ο κεντρικός υπολογιστής το δρομολογεί ή το φιλτράρει. Αντιγράψτε αυτή την πρόταση σε ένα αυτοκόλλητο, γιατί κάθε περίπτωση παρακάτω είναι παραλλαγή της.

Τρεις τύποι διακόπτη, τρεις διαδρομές

Ένας εξωτερικός διακόπτης δεσμεύει έναν εικονικό προσαρμογέα σε μια φυσική κάρτα δικτύου και ο επισκέπτης στέλνει πλαίσια μέσω αυτής της δέσμευσης με τη δική του διεύθυνση MAC. Ο επισκέπτης γίνεται ισότιμος στο φυσικό δίκτυο, με τη δική του μίσθωση DHCP, πύλη και διακομιστές DNS. Η προεπιλεγμένη διαδρομή VPN του κεντρικού υπολογιστή ζει στη στοίβα του κεντρικού υπολογιστή και δεν μετακινεί αυτά τα πλαίσια, γιατί γεφυρώνονται αντί να δρομολογούνται μέσω του κεντρικού υπολογιστή. Γι' αυτό επίσης ένας εξωτερικός διακόπτης πάνω από προσαρμογέα Wi-Fi είναι κακή ιδέα: οι περισσότεροι ασύρματοι οδηγοί δεν μεταφέρουν πλαίσια για δεύτερη διεύθυνση MAC.

Ένας εσωτερικός διακόπτης συνδέει τους επισκέπτες με έναν εικονικό προσαρμογέα του κεντρικού υπολογιστή. Από μόνος του δεν παρέχει έξοδο στο διαδίκτυο· ένα αντικείμενο NAT στον κεντρικό υπολογιστή παρέχει τη μετάφραση, όπως περιγράφεται στον οδηγό NAT του Hyper-V. Τώρα τα πακέτα του επισκέπτη μπαίνουν πραγματικά στη δρομολόγηση και στη διαδρομή NAT του κεντρικού υπολογιστή, οπότε οι διαδρομές και τα φίλτρα του πελάτη VPN ξαναμετρούν. Αυτή είναι η διάταξη όπου η εικονική μηχανή ακολουθεί πραγματικά το VPN του κεντρικού υπολογιστή και όπου ένα kill switch μπορεί να αποκόψει τον επισκέπτη εντελώς.

Ένας ιδιωτικός διακόπτης δεν έχει προσαρμογέα κεντρικού υπολογιστή ούτε ζεύξη ανόδου. Οι επισκέπτες μιλούν μεταξύ τους και με τίποτα άλλο, οπότε αν μια εικονική μηχανή σε ιδιωτικό διακόπτη δεν έχει διαδίκτυο, ο δρομολογητής που λείπει είναι η αιτία και το VPN είναι άσχετο.

Ο προεπιλεγμένος διακόπτης είναι δική του διάταξη

Τα Windows παρέχουν έναν προεπιλεγμένο διακόπτη που συνδυάζει εσωτερικό διακόπτη με NAT και μεσολαβητή DNS. Το υποδίκτυό του το επιλέγει ο κεντρικός υπολογιστής, μπορεί να αλλάξει μετά από επανεκκινήσεις και δεν είναι το ίδιο αντικείμενο με ένα δίκτυο NAT που δημιουργείτε εσείς. Το να τον ξαναχτίσετε σαν να ήταν δίκτυο εργαστηρίου είναι ο τρόπος με τον οποίο οι άνθρωποι καταλήγουν με δύο NAT και έναν επισκέπτη που ακόμη δεν έχει διαδρομή.

Αν η εικονική μηχανή βρίσκεται στον προεπιλεγμένο διακόπτη, διαβάστε τη διεύθυνση που έλαβε ο επισκέπτης και συγκρίνετέ την με τον πίνακα NAT του κεντρικού υπολογιστή πριν αγγίξετε τον πελάτη VPN. Μια αναντιστοιχία μεταξύ της πύλης του επισκέπτη και του προθέματος NAT εξηγεί περισσότερες αποτυχίες από οποιαδήποτε ρύθμιση πελάτη.

Τέσσερα γεγονότα που λύνουν το ερώτημα

Συλλέξτε αυτά πριν αλλάξετε οτιδήποτε: τον τύπο του διακόπτη και τη ζεύξη ανόδου του, τον προσαρμογέα που είναι συνδεδεμένος στην εικονική μηχανή, τη δική του διεύθυνση, πύλη και DNS του επισκέπτη, καθώς και την κατάσταση NAT και προεπιλεγμένης διαδρομής του κεντρικού υπολογιστή. Οι εντολές μόνο για ανάγνωση είναι Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat, και Get-NetRoute -DestinationPrefix 0.0.0.0/0, και μέσα στον επισκέπτη το ipconfig /all δίνει τα υπόλοιπα.

Έπειτα αποφασίστε τι πρέπει να κάνει ο επισκέπτης. Αν πρέπει να μείνει έξω από το VPN, ζητήστε την υποστηριζόμενη εξαίρεση του παρόχου για ακριβώς αυτή τη διαδρομή, γιατί η εξαίρεση ενός εκτελέσιμου στον κεντρικό υπολογιστή δεν εξαιρεί την προωθούμενη κίνηση της εικονικής μηχανής. Αν πρέπει να χρησιμοποιεί το VPN, επιβεβαιώστε την τεκμηριωμένη συμπεριφορά του πελάτη απέναντι στην κίνηση εικονικών μηχανών αντί να υποθέσετε ότι μια δοκιμή στο πρόγραμμα περιήγησης του κεντρικού υπολογιστή την καλύπτει.

Μια δοκιμή μέσα στον επισκέπτη είναι η μόνη απόδειξη που μετρά. Ελέγξτε τη διεύθυνση εξόδου από τον επισκέπτη, επιλύστε ένα εσωτερικό όνομα, επανασυνδέστε το VPN και επαναλάβετε. Το αποτέλεσμα του προγράμματος περιήγησης του κεντρικού υπολογιστή δεν αντικαθιστά τίποτα από αυτά.

Τι κοστίζει ο μύθος

Οι άνθρωποι απενεργοποιούν το kill switch, προσθέτουν στατικές διαδρομές ή διαγράφουν και ξαναδημιουργούν διακόπτες μόνο για να περάσει μια δοκιμή. Κάθε συντόμευση αλλάζει τον τρόπο αποτυχίας: ο επισκέπτης μπορεί να φτάσει στο διαδίκτυο από διαδρομή που κανείς δεν σκόπευε, ή ο κεντρικός υπολογιστής μπορεί να χάσει τη συνδεσιμότητα όταν ένας εξωτερικός διακόπτης επαναδεσμεύσει τη φυσική του κάρτα.

Η επαναδέσμευση ενός εξωτερικού διακόπτη διακόπτει την πρόσβαση του ίδιου του κεντρικού υπολογιστή, οπότε κρατήστε ανοιχτή μια διαδρομή εκτός ζώνης και αποφύγετε τη διαγραφή διακοπτών όσο ακόμη διαγιγνώσκετε. Το σωστό αποτέλεσμα είναι η επιδιωκόμενη διαδρομή του επισκέπτη, συμπεριλαμβανομένου του πώς επανασυνδέεται και πώς αποτυγχάνει, όχι ένα πράσινο σημάδι από μία φόρτωση σελίδας.

Η διαρκής απάντηση είναι μία γραμμή ανά εικονική μηχανή στο απόθεμα: ποιον διακόπτη χρησιμοποιεί και ποιο στοιχείο παρέχει την πύλη της. Όταν αυτό είναι γραμμένο, η επόμενη αλλαγή VPN είναι μια αναζήτηση αντί για ένα απόγευμα εικασιών.