Ĉu Hyper-V virtuala maŝino uzas la VPN de la gastiganto? Dependas de la virtuala ŝaltilo

Instalu VPN-klienton sur la Hyper-V-gastiganto, malfermu retumilon tie, kaj la elira adreso ŝanĝiĝas; malfermu la saman paĝon ene de la virtuala maŝino kaj ĝi eble montros la malnovan adreson aŭ nenion. La kutima konkludo estas, ke la virtuala maŝino difektas, aŭ ke oni devas ŝalti dividitan tuneladon. Nek unu nek la alia sekvas. VPN-kliento ne estas eco de la maŝino; ĝi estas aro da itineroj, virtuala adaptilo kaj ofte filtrilo ligita al specifaj interfacoj. Ĉu gastotrafiko iam renkontos tiun maŝinaron, dependas de la virtuala ŝaltilo, kiun uzas la gasto.

La mito, dirite simple

La kredo estas, ke VPN instalita sur la gastiganto protektas la tutan maŝinon, inkluzive de virtualaj maŝinoj, ĉar virtuala maŝino estas nur procezo kuranta sur tiu maŝino. Ĝi estas komforta kredo, ĉar kontraŭvirusiloj kaj gastigantaj fajroŝirmiloj kutime tiel kondutas. Retaj vojoj ne.

La kadron de gasto tuŝas la VPN-stako de la gastiganto nur se la gastiganto enkursigas aŭ filtras ĝin. Kopiu tiun frazon sur glumemon, ĉar ĉiu kazo sube estas variaĵo de ĝi.

Tri tipoj de ŝaltilo, tri vojoj

Ekstera ŝaltilo ligas virtualan adaptilon al fizika retkarto, kaj la gasto sendas kadrojn tra tiu ligo kun sia propra MAC-adreso. La gasto fariĝas samranga en la fizika reto, kun propra DHCP-luo, pordego kaj DNS-serviloj. La defaŭlta VPN-itinero de la gastiganto loĝas en la stako de la gastiganto kaj ne movas tiujn kadrojn, ĉar ili estas pontitaj anstataŭ enkursigitaj tra la gastiganto. Tial ankaŭ ekstera ŝaltilo super Wi-Fi-adaptilo estas malbona ideo: plej multaj sendrataj peliloj ne portas kadrojn por dua MAC-adreso.

Interna ŝaltilo ligas gastojn al virtuala adaptilo de la gastiganto. Sole ĝi donas neniun interretan eliron; NAT-objekto sur la gastiganto provizas tradukon, kiel priskribite en la Hyper-V-NAT-gvidilo. Nun la pakaĵoj de la gasto ja eniras la enkursigadon kaj NAT-vojon de la gastiganto, do la itineroj kaj filtriloj de la VPN-kliento denove gravas. Tio estas la aranĝo, en kiu la virtuala maŝino vere sekvas la VPN de la gastiganto, kaj en kiu kill switch povas tute fortranĉi la gaston.

Privata ŝaltilo ne havas gastigantan adaptilon kaj ne havas suprenligon. Gastoj parolas unu kun la alia kaj kun nenio alia, do se virtuala maŝino sur privata ŝaltilo ne havas interreton, la mankanta enkursigilo estas la kaŭzo kaj la VPN estas malgrava.

La defaŭlta ŝaltilo estas propra aranĝo

Windows liveras defaŭltan ŝaltilon, kiu kombinas internan ŝaltilon kun NAT kaj DNS-prokurilo. Ĝian subreton elektas la gastiganto, ĝi povas ŝanĝiĝi post restartigoj, kaj ĝi ne estas la sama objekto kiel NAT-reto, kiun vi mem kreas. Rekonstrui ĝin kvazaŭ ĝi estus laboratoria reto estas kiel homoj finas kun du NAT-oj kaj gasto, kiu ankoraŭ havas neniun itineron.

Se la virtuala maŝino sidas sur la defaŭlta ŝaltilo, legu la adreson, kiun ricevis la gasto, kaj komparu ĝin kun la NAT-tabelo de la gastiganto antaŭ ol tuŝi la VPN-klienton. Miskongruo inter la pordego de la gasto kaj la NAT-prefikso klarigas pli da malsukcesoj ol iu ajn klienta agordo.

Kvar faktoj, kiuj solvas la demandon

Kolektu ĉi tion antaŭ ol ŝanĝi ion ajn: la tipon de la ŝaltilo kaj ĝian suprenligon, la adaptilon ligitan al la virtuala maŝino, la propran adreson, pordegon kaj DNS de la gasto, kaj la staton de NAT kaj defaŭlta itinero de la gastiganto. La nurlegaj komandoj estas Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat, kaj Get-NetRoute -DestinationPrefix 0.0.0.0/0; kaj ene de la gasto ipconfig /all donas la reston.

Poste decidu, kion la gasto devas fari. Se ĝi devas resti ekster la VPN, akiru la subtenatan escepton de la provizanto por ĝuste tiu vojo, ĉar escepti plenumeblan dosieron de la gastiganto ne esceptas plusenditan trafikon de virtuala maŝino. Se ĝi devas uzi la VPN, konfirmu la dokumentitan traktadon de virtualmaŝina trafiko fare de la kliento anstataŭ supozi, ke testo en la retumilo de la gastiganto kovras tion.

Testo ene de la gasto estas la sola pruvo, kiu validas. Kontrolu la eliran adreson el la gasto, solvu internan nomon, rekonektu la VPN kaj ripetu. La retumila rezulto de la gastiganto ne anstataŭas ion el tio.

Kion kostas la mito

Homoj malŝaltas la kill switch, aldonas statikajn itinerojn aŭ forigas kaj rekreas ŝaltilojn nur por ke testo pasu. Ĉiu fuĝvojo ŝanĝas la malsukcesan reĝimon: la gasto povas atingi la interreton per vojo, kiun neniu intencis, aŭ la gastiganto povas perdi konektecon, kiam ekstera ŝaltilo religas sian fizikan adaptilon.

Religi eksteran ŝaltilon interrompas la propran aliron de la gastiganto, do tenu malfermita eksterkanalan vojon kaj evitu forigi ŝaltilojn dum vi ankoraŭ diagnozas. La ĝusta rezulto estas la celita vojo de la gasto, inkluzive de kiel ĝi rekonektiĝas kaj kiel ĝi malsukcesas, ne verda marko el unu paĝa ŝargo.

La daŭra respondo estas unu linio por virtuala maŝino en la inventaro: kiun ŝaltilon ĝi uzas kaj kiu komponanto provizas ĝian pordegon. Kiam tio estas skribita, la sekva VPN-ŝanĝo estas serĉo anstataŭ posttagmezo da konjektado.