Γιατί αποτυγχάνει το VPN του επισκέπτη πίσω από το NAT του VirtualBox;

Ένα πρόγραμμα περιήγησης μέσα στην εικονική μηχανή λειτουργεί, και ο πελάτης VPN στον ίδιο επισκέπτη δεν μπορεί να μεταφέρει δεδομένα. Ο επισκέπτης έχει προφανώς συνδεσιμότητα, άρα η βλάβη βρίσκεται σε ό,τι χρειάζεται το εξωτερικό πρωτόκολλο του VPN και σε ό,τι θα περάσει το εικονικό NAT. Τρεις συνθήκες καθορίζουν το αποτέλεσμα: ποια διεργασία κατέχει το VPN, πώς φαίνεται η εξωτερική ανταλλαγή στο καλώδιο και αν η λειτουργία του προσαρμογέα είναι αυτή που νομίζετε. Το να ονομάσετε τη συνθήκη που μπορείτε να αλλάξετε είναι ολόκληρη η απόφαση.

Εντοπίστε τη διεργασία VPN πριν κατηγορήσετε το δίκτυο

Αποφασίστε πρώτα αν το VPN εκτελείται μέσα στον επισκέπτη ή στον κεντρικό υπολογιστή, επειδή οι δύο διατάξεις αποτυγχάνουν διαφορετικά. Ένας πελάτης μέσα στον επισκέπτη χτίζει τη δική του εξωτερική σύνδεση μέσω του προσαρμογέα του επισκέπτη και όποιας μετάφρασης βρίσκεται πίσω του. Ένα VPN κεντρικού υπολογιστή συλλαμβάνει την κίνηση του επισκέπτη σύμφωνα με την πολιτική του κεντρικού υπολογιστή και του hypervisor, που είναι ξεχωριστό σημείο σύλληψης με δικούς του κανόνες. Μπορούν να λειτουργούν ταυτόχρονα και να μπερδεύουν τα στοιχεία, γι' αυτό προσδιορίστε ποιο πρέπει να μεταφέρει αυτή την κίνηση πριν αγγίξετε οποιοδήποτε.

Σημειώστε τώρα τη λειτουργία του προσαρμογέα του επισκέπτη, πριν αλλάξετε οτιδήποτε. Αυτή η μία τιμή εξηγεί τα περισσότερα από όσα ακολουθούν, και είναι το πρώτο πράγμα που θα σας ρωτήσει κάποιος αργότερα.

Η εξωτερική ανταλλαγή καθορίζει τη συμβατότητα

Ο οδηγός δικτύωσης του VirtualBox απαριθμεί περιορισμούς NAT που έχουν σημασία εδώ: δεν περνά πρωτόκολλα άλλα από TCP και UDP, το GRE αναφέρεται ως μη υποστηριζόμενο και το PPTP δίνεται ως επηρεαζόμενο παράδειγμα. Το PPTP χρησιμοποιεί ανταλλαγή ελέγχου TCP και GRE για τα δεδομένα, οπότε η σύνδεση ελέγχου μπορεί να πετύχει ενώ η διαδρομή δεδομένων δεν μπορεί να περάσει το ίδιο όριο. Αυτά είναι δύο διαφορετικά στοιχεία, και μόνο το ένα αφορά τη μεταφορά κίνησης. Το να επιτρέψετε τη θύρα TCP 47 σε κανόνα τείχους προστασίας δεν είναι το ίδιο με το να επιτρέψετε το πρωτόκολλο IP 47, και τα δύο μπερδεύονται συνεχώς.

Κρατήστε τον περιορισμό συνδεδεμένο με αυτή τη διάταξη NAT και όχι με κάθε συσκευή που χρησιμοποιεί τη λέξη NAT. Ένας φυσικός δρομολογητής μπορεί να περάσει GRE χωρίς παράπονο ενώ το εικονικό NAT το απορρίπτει, και ένας διαφορετικός hypervisor κάνει τη δική του επιλογή για το τι προωθεί. Όπου ο οργανισμός προσφέρει εγκεκριμένη μεταφορά εντός TCP ή UDP, χρησιμοποιήστε τον υποστηριζόμενο πελάτη και προφίλ του για αυτή τη διαδρομή. Η συμβατότητα είναι μία απαίτηση ανάμεσα σε αρκετές, και δεν καθιερώνει ούτε εμπιστοσύνη διακομιστή ούτε άδεια λογαριασμού ούτε λειτουργικές ιδιωτικές διαδρομές.

Τι αλλάζει πραγματικά η γεφύρωση

Μια γέφυρα παραδίδει τη διεύθυνση MAC του επισκέπτη στο φυσικό τμήμα αντί να την κρύβει πίσω από μετάφραση. Ο επισκέπτης παίρνει τότε διεύθυνση από όποιον διακομιστή DHCP εξυπηρετεί αυτό το τμήμα, απαντά σε ARP για αυτή τη διεύθυνση και εμφανίζεται στον ανάντη μεταγωγέα ως ακόμη μία θύρα. Αυτό αφαιρεί τη διαδρομή εικονικής μετάφρασης, που είναι ακριβώς ο λόγος που μια παλιά συνταγή το προτείνει, και αλλάζει τρία άλλα πράγματα την ίδια στιγμή. Η διευθυνσιοδότηση έρχεται τώρα από το τοπικό τμήμα και όχι από τον hypervisor, η έκθεση σημαίνει ότι ο επισκέπτης είναι ορατός σε αυτό το τμήμα, και η αποδοχή εξαρτάται από τη θύρα του μεταγωγέα και την πολιτική του. Κάθε ένα από αυτά μπορεί να είναι λόγος να αρνηθείτε την αλλαγή, και κανένα δεν αφορά το πρωτόκολλο VPN.

Η γεφύρωση δεν εγκαθιστά ένα πρόσθετο που λείπει, δεν παρέχει έναν μη διαθέσιμο μυστικό πράκτορα και δεν επιδιορθώνει μια απόρριψη ταυτοποίησης. Δεν κάνει επίσης ένα παρωχημένο πρωτόκολλο καλή επιλογή, και όπου ο διαχειριστής έχει συντηρούμενη αντικατάσταση, η απόφαση είναι εκείνη και όχι η αλλαγή του hypervisor. Η προώθηση θύρας είναι εντελώς τρίτος ρόλος: δημοσιεύει μια εισερχόμενη υπηρεσία και δεν κάνει τίποτα για το εξωτερικό πρωτόκολλο ενός εξερχόμενου πελάτη.

Δύο σήραγγες, δύο ίχνη στοιχείων

Ένα VPN επισκέπτη χρειάζεται μια χρησιμοποιήσιμη διαδρομή από τη διεπαφή του επισκέπτη προς τον ομόλογό του πριν μετρήσει οποιαδήποτε εσωτερική διεύθυνση ή ιδιωτική διαδρομή. Όπου υπάρχει VPN κεντρικού υπολογιστή, μπορεί να προωθήσει ή να αποκλείσει αυτή την εξωτερική ανταλλαγή σύμφωνα με τη δική του πολιτική, και η εσωτερική σήραγγα του επισκέπτη αρχίζει μόνο αφού πετύχει η εξωτερική. Η κάλυψη κανενός επιπέδου δεν διαβάζεται από ένα μόνο συνδεδεμένο εικονίδιο ή από τη δημόσια διεύθυνση του προγράμματος περιήγησης του κεντρικού υπολογιστή.

Κρατήστε το πρώτο μήνυμα σφάλματος και όχι το τελευταίο, επειδή η πρώιμη αποτυχία ονομάζει το επίπεδο. Αλλάξτε μία υποστηριζόμενη διάταξη δικτύου τη φορά, με το ίδιο προφίλ επισκέπτη και τα ίδια διαπιστευτήρια, ώστε η σύγκριση να σημαίνει κάτι. Αποφασίστε από την αποτυχία ποιο στάδιο έσπασε: τοπική ολοκλήρωση, μεταφορά, ταυτοποίηση ή πρόσβαση σε πόρους μετά την ανύψωση της σήραγγας. Κάθε ένα έχει διαφορετικό ιδιοκτήτη, και μόνο ένα είναι ερώτημα hypervisor.

Ποια συνθήκη σας μπλοκάρει στην πραγματικότητα

Τώρα η απόφαση περιορίζεται σε τρεις ερωτήσεις με διαφορετικές απαντήσεις. Αν το εξωτερικό πρωτόκολλο βρίσκεται έξω από TCP και UDP, η λειτουργία NAT είναι ο περιορισμός, και η γεφύρωση ή μια εγκεκριμένη μεταφορά TCP/UDP είναι ο δρόμος μπροστά. Αν η εξωτερική ανταλλαγή ολοκληρώνεται και η διαδρομή δεδομένων όχι, ο περιορισμός είναι ο ίδιος που φαίνεται στο δεύτερο στοιχείο. Αν η σήραγγα ανυψωθεί και οι πόροι δεν απαντούν, το πρόβλημα έχει ήδη περάσει τον hypervisor σε δρομολόγηση ή πολιτική.

Γράψτε την απάντηση με τη λειτουργία του προσαρμογέα δίπλα, αλλιώς το επόμενο άτομο θα επαναλάβει το ίδιο απόγευμα. Δοκιμάστε την πραγματική εφαρμογή και την επίλυση ονομάτων μέσα στον επισκέπτη μετά από οποιαδήποτε διόρθωση, έπειτα επανασυνδεθείτε και δοκιμάστε την πολιτική αποτυχίας. Μια λειτουργική ιστοσελίδα μέσα από τη σήραγγα αποδεικνύει μόνο ότι η διαδρομή ιστού λειτουργεί, που είναι μικρότερος ισχυρισμός από ό,τι φαίνεται εκείνη τη στιγμή.