VPN ενεργό, η VM απρόσιτη; Η διαδρομή μάλλον δεν ήταν ποτέ το πρόβλημα

Συνδέστε το VPN και η VM ανάπτυξης που απαντούσε πριν από ένα λεπτό σωπαίνει. Η προφανής ιστορία γράφεται μόνη της: το τούνελ πήρε τη διαδρομή, ο υπολογιστής-ξενιστής στέλνει τώρα την κίνηση του επισκέπτη στο εταιρικό δίκτυο, και η λύση είναι να προσθέσετε μια στατική διαδρομή ή να αλλάξετε τον προσαρμογέα σε λειτουργία γέφυρας. Αυτή η ιστορία είναι μερικές φορές αληθινή. Αλλά δεν είναι η συνηθισμένη αιτία, και η ενέργεια βάσει αυτής πρώτα συνήθως χαλάει κάτι άλλο.

Το δίκτυο host-only είναι ένα δίκτυο λογισμικού που ανήκει στον ξενιστή και μοιράζεται με τους επισκέπτες του, ξεχωριστό από οποιαδήποτε φυσική σύνδεση. Τίποτα στη διεπαφή του ίδιου του πελάτη VPN δεν αλλάζει αυτό το δίκτυο, οπότε πριν το αγγίξετε, βρείτε ποιο από τα τέσσερα επίπεδα απέτυχε πραγματικά.

Η διαδρομή συνήθως παραμένει τοπική

Ρωτήστε τον πυρήνα αντί για την πρώτη σελίδα του πίνακα δρομολόγησης. Στο Linux, η εντολή ip route get 192.168.56.10 αναφέρει την ακριβή διαδρομή, τη διεπαφή και τη διεύθυνση προέλευσης που θα χρησιμοποιούνταν, κάτι που είναι διαφορετική απάντηση από το να διαβάζετε μια προεπιλεγμένη διαδρομή και να μαντεύετε. Αν η έξοδος ονομάζει τη διεπαφή host-only, το τούνελ δεν εμπλέκεται καθόλου σε αυτή τη διαδρομή.

Δύο πράγματα μπορούν πραγματικά να το χαλάσουν, και τα δύο είναι προβλήματα διευθύνσεων και όχι VPN. Ένα απομακρυσμένο υποδίκτυο που επικαλύπτεται με το πρόθεμα host-only κάνει την πιο συγκεκριμένη διαδρομή να κερδίζει, και ένας πελάτης VPN που εγκαθιστά μια ευρεία διαδρομή με χαμηλότερη μετρική μπορεί να τραβήξει το πρόθεμα μακριά. Και τα δύο φαίνονται στην ίδια εντολή: η διεπαφή που ονομάζεται στην έξοδο θα είναι το τούνελ, και η διόρθωση ανήκει σε όποιον κατέχει αυτό το σχέδιο διευθύνσεων.

Η επιλογή διαδρομής και η αποδοχή πακέτου είναι διαφορετικές αποφάσεις

Αυτό είναι το κομμάτι που το νοητικό μοντέλο συνήθως παραλείπει. Ακόμα και με μια τέλεια τοπική διαδρομή, ένας πελάτης VPN μπορεί να απορρίψει το πακέτο. Πολλοί πελάτες επιβάλλουν μια πολιτική τοπικής πρόσβασης δικτύου που αποφασίζει ποιοι προορισμοί επιτρέπονται εκτός του τούνελ, και ένα συνδεδεμένο υποδίκτυο δεν ενημερώνει αυτή τη λίστα αυτόματα.

Έτσι η αποτυχία φαίνεται ίδια με πρόβλημα δρομολόγησης από την πλευρά της εφαρμογής και εντελώς διαφορετική από την πλευρά του πελάτη. Αν το ip route get ονομάζει τη σωστή διεπαφή και η σύνδεση εξακολουθεί να λήγει, σταματήστε να επεξεργάζεστε διαδρομές και διαβάστε αντ' αυτού την τεκμηριωμένη συμπεριφορά τοπικής πρόσβασης του πελάτη. Μερικοί πελάτες παρέχουν λίστα επιτρεπόμενων για τοπικά υποδίκτυα, μερικοί μπλοκάρουν ό,τι δεν είναι το τούνελ, και μερικοί μπλοκάρουν μόνο όταν είναι ενεργός ένας διακόπτης ασφαλείας.

Αυτή η διάκριση έχει σημασία γιατί οι διορθώσεις δεν είναι εναλλάξιμες. Η προσθήκη διαδρομής δεν μπορεί να ικανοποιήσει ένα φίλτρο, και η απενεργοποίηση ενός φίλτρου για να φτάσετε σε έναν επισκέπτη είναι πολύ μεγαλύτερη απόφαση από ό,τι υποδηλώνει το σύμπτωμα.

Ο επισκέπτης έχει τρεις τρόπους να πει όχι

Ένας επισκέπτης που μπορεί να περιηγηθεί στο διαδίκτυο δεν έχει αποδείξει τίποτα για την υπηρεσία που θέλετε. Ο ακροατής μπορεί να είναι δεσμευμένος στη 127.0.0.1 μέσα στον επισκέπτη, οπότε κανένα αίτημα από τον ξενιστή δεν μπορεί να φτάσει, όσο καλή κι αν είναι η διαδρομή. Ελέγξτε με ss -ltn μέσα στον επισκέπτη και κοιτάξτε τη στήλη της τοπικής διεύθυνσης, όχι μόνο τη θύρα.

Επόμενο είναι το δικό του τείχος προστασίας του επισκέπτη. Μια εικόνα ανάπτυξης με περιοριστική προεπιλογή μπορεί να δεχτεί τα πακέτα του ξενιστή και να τα απορρίψει στα όρια της υπηρεσίας, κάτι που παράγει μια λήξη χρόνου που μοιάζει ακριβώς με μαύρη τρύπα δρομολόγησης. Τέλος υπάρχει η δική του διαμόρφωση της υπηρεσίας: μια διαδικτυακή εφαρμογή δεσμευμένη σε συγκεκριμένο όνομα ξενιστή ή μια λίστα επιτρεπόμενων διευθύνσεων πελατών θα απορρίψει αίτημα από το υποδίκτυο host-only ακόμη και όταν φτάνει κάθε πακέτο.

Περάστε από αυτά τα τρία πριν σκεφτείτε να αλλάξετε τη λειτουργία δικτύου της VM. Κάθε ένα είναι μικρότερη αλλαγή από το να ανασχεδιάσετε τη σύνδεση του επισκέπτη, και κάθε ένα έχει σαφή δοκιμή.

Τι είναι πραγματικά μια γέφυρα και τι κοστίζει

Η αλλαγή του προσαρμογέα σε λειτουργία γέφυρας δεν είναι επισκευή της διαδρομής host-only. Είναι η απόφαση να βάλετε τον επισκέπτη σε άλλο δίκτυο, συνήθως το φυσικό LAN, όπου γίνεται ορατός σε ό,τι άλλο ζει εκεί. Μπορεί να είναι ακριβώς αυτό που θέλετε. Αλλά δεν είναι αυτό που έκανε η αρχική διαμόρφωση.

Χρησιμοποιήστε το όταν ο επισκέπτης πρέπει πραγματικά να είναι ομότιμος σε εκείνο το LAN και η έκθεση είναι εγκεκριμένη. Μη το χρησιμοποιείτε επειδή μια μόνο υπηρεσία σταμάτησε να απαντά, αφού η αλλαγή μπορεί να βγάλει τον επισκέπτη από την απομόνωση που τον έκανε ασφαλή για ανάπτυξη.

Μετά από κάθε εγκεκριμένη διόρθωση, δοκιμάστε με σταθερή σειρά: ένα νέο αίτημα από τον ξενιστή στον επισκέπτη, έναν απαιτούμενο εταιρικό πόρο μέσω του τούνελ, και την προβλεπόμενη συμπεριφορά άρνησης με το τούνελ κλειστό. Αν το τελευταίο δεν ισχύει πλέον, η διόρθωση πήγε πέρα από το πρόβλημα.

Η ενότητα του VirtualBox για το δίκτυο host-only περιγράφει τη διεπαφή λογισμικού στην πλευρά του ξενιστή και πώς διαφέρει από μια σύνδεση γέφυρας, που είναι η αναφορά που αξίζει να διαβάσετε πριν υποθέσετε ότι οι δύο λειτουργίες είναι εναλλάξιμες.