Kodulabori hüperviisor VPN-i kaudu kättesaamatu: kust otsida

Tunnel tuleb üles, hüperviisori veebileht läheb aegumisele ja klient ütleb, et on ühendatud. See kombinatsioon välistab üllatavalt palju: VPN-i käepigistus töötab, kliendil on aadress ja lõpp-punkt on kättesaadav. Alles jääb lühike nimekiri marsruutimis- ja poliitikaküsimustest ning neil on loomulik järjekord. Töötage need läbi hüperviisorist väljapoole, mitte kliendist sissepoole, sest hüperviisori enda olekut on kõige odavam kinnitada.

Alustage haldussegmendist

Kinnitage hüperviisori haldusaadress ja sellel kuulav teenus ning kinnitage, et leht laaditakse teisest hostist samas segmendis, enne kui diagnoosite midagi kaugelt. Ebaõnnestuv kohalik test ei ole VPN-i probleem ja see on viie minuti kontroll, mis säästab tunni.

Siis kaks teed. VPN-kliendil on vaja marsruuti haldusvõrku, mis tavaliselt tähendab, et kliendi AllowedIPs või lükatud marsruudid sisaldavad seda alamvõrku. Hüperviisoril või selle vaikeväraval on vaja tagasiteed kliendi aadresside basseini, kui disain just allikat siseneval teel teadlikult ei tõlgi. Need on kaks eraldi fakti ja kummagi puudumine annab sama aegumise. Kontrollige neid eraldi: ip route get 192.168.10.20 kliendil ja püüdmine hüperviisori hostis, mis näitab, kas pakett üldse kohale jõudis.

Lubage tegelik kaugadministraator

Autoriseerimine on kättesaadavusest eraldi küsimus. Kasutage värava- ja hostipoliitikat, mis on piiratud allikate ja teenustega, mis vajavad haldusjuurdepääsu. Külalis-VPN-i konto, mis vajab ühte laborirakendust, ei peaks seeläbi haldustasandile jõudma, ja lame reegel, mis lubab kogu tunneli alamvõrku, on see, kuidas seda juhtub.

Hoidke hüperviisori enda autentimine ja sertifikaadikontrollid sisse lülitatud. Privaatne marsruut ei ole põhjus ootamatu identiteedihoiatuse läbi klõpsamiseks.

Hoiatust tasub käsitleda leiuna, mitte takistusena. Kui sertifikaat ei vasta kasutatud nimele, on kas nimi vale või teenus pole see, mida arvate, ja mõlemad vastused loevad haldusliidesel rohkem kui kusagil mujal. Jõudke lehele nimega, mille jaoks sertifikaat väljastati, ja laske DNS-il see nimi tunneli aadressile suunata. Privaatne nimi, mis laheneb LAN-i ja tunneli vahel ebajärjekindlalt, on tavaline sertifikaadikaebuste põhjus, mis näevad välja nagu VPN-i rikked.

Kontrollige teiseseid ühendusi

Mõned funktsioonid kasutavad ühendusi, mida veebileht ei kasuta. Konsoolisessioon, ISO üleslaadimine, VNC või SPICE puhverserver ja migratsioonikanal võivad igaüks kasutada erinevat porti või erinevat hosti aadressi. Kui leht laaditakse ja üks funktsioon ebaõnnestub, lugege selle toote nõuet, mitte ärge avage hostis iga porti.

Kõige avamine on see, kuidas haldusliidesest saab haldamata liides. Iga lisaport on veel üks kuulaja, mida tuleb paigatuna hoida, ja hüperviisor paljastab neid juba piisavalt. Tehke kindlaks konkreetne ühendus, mida funktsioon vajab, kinnitage, et see on tunneli kaudu kättesaadav, ja jätke ülejäänud suletuks. Kui funktsioon nõuab otsest ühendust hosti aadressiga, mis ei ole teie tunneli kaudu marsruuditav, on see disainipiirang, millest tuleb teadlikult mööda minna, mitte põhjus vahemikku edasi suunata.

Hoidke tagasitee enne, kui võrku puutute

Enne kui muudate virtuaalvõrku, mis kannab teie enda VPN-i, kinnitage, et teil on kohalik või sõltumatu tagasitee.

See loeb kodulaboris kõige rohkem, sest VPN-i lõpp-punkt on sageli virtuaalmasin just sellel hüperviisoril, kuhu proovite jõuda. Virtuaalse lüliti, silla või tulemüürireegli kaugmuutmine võib kasutatava tee eemaldada ja sessioon võib püsida piisavalt kaua, et seda juhtumas näha.

Testige väljastpoolt laborit, mitte LAN-ist, ja kontrollige keeldumisi nagu lubasidki. Võrk, mis peaks jääma tunnelist kättesaamatuks, peaks jääma selleks ka pärast teie muudatust, ja see on halduslehe laadimisest eraldi väide. Kirjutage mõlemad tulemused üles, sest teine jäetakse vahele ja see on oluline, kui labor kasvab.

Kirje, mida hoida, on lühike: haldusaadress ja -teenus, marsruut, mida kumbki pool vajab, identiteedid, kellel on lubatud juurde pääseda, ja taastamistee. Sellest piisab, et järgmine inimene saaks töötava oleku taasesitada ilma seda uuesti tuletamata.

Kui leht pärast kõike seda ikka aegub, tehke hüperviisoris püüdmine ja otsige paketti, enne kui muudate veel üht reeglit. Pakett, mis ei saabu kunagi, on marsruutimise või tulemüüri küsimus; pakett, mis saabub ja lükatakse tagasi, on teenuse või poliitika küsimus; pakett, mis saabub ja vastatakse, samal ajal kui klient ootab, on tagasitee küsimus. strongSwan-i edasisaatmise dokumentatsioon kirjeldab, kuidas Linuxi värav tunneli liiklust sisemisele hostile edasi saadab. Kolm püüdmist on paremad kui veel üks oletus.