Kas Hyper-V virtuaalmasin kasutab hosti VPN-i? See sõltub virtuaallülitist

Paigaldage Hyper-V hosti VPN-klient, avage seal brauser ja väljumisaadress muutub; avage sama leht virtuaalmasina sees ja see võib näidata vana aadressi või üldse mitte midagi. Tavaline järeldus on, et virtuaalmasin on katki, või et tuleb lubada jagatud tunnel. Kumbki ei tulene. VPN-klient ei ole masina omadus; see on marsruutide kogum, virtuaalne adapter ja sageli konkreetsete liidestega seotud filter. Kas külalise liiklus kunagi selle mehhanismiga kohtub, sõltub virtuaallülitist, mida külaline kasutab.

Müüt, otse öeldud

Uskumus on, et hostile paigaldatud VPN kaitseb kogu masinat, sealhulgas virtuaalmasinaid, sest virtuaalmasin on vaid sellel masinal jooksev protsess. See on mugav uskumus, sest viirusetõrje ja hosti tulemüürid käituvad tavaliselt nii. Võrguteed mitte.

Külalise kaadrit puudutab hosti VPN-pinu ainult siis, kui host seda marsruudib või filtreerib. Kirjutage see lause kleebisele, sest iga allpool olev juhtum on selle variant.

Kolm lüliti tüüpi, kolm teed

Väline lüliti seob virtuaalse adapteri füüsilise võrgukaardiga ja külaline saadab kaadrid selle sideme kaudu oma MAC-aadressiga. Külalisest saab füüsilises võrgus võrdne osaline, oma DHCP-rendi, lüüsi ja DNS-serveritega. Hosti VPN-i vaikemarsruut elab hosti pinus ega liiguta neid kaadreid, sest need sillatakse, mitte ei marsruudita hosti kaudu. Seetõttu on väline lüliti üle Wi-Fi-adapteri halb mõte: enamik juhtmevabu draivereid ei kanna kaadreid teise MAC-aadressi jaoks.

Sisemine lüliti ühendab külalised hosti virtuaalse adapteriga. Üksi ei anna see internetiväljundit; hosti NAT-objekt teeb tõlke, nagu on kirjeldatud Hyper-V NAT juhendis. Nüüd satuvaad külalise paketid tõesti hosti marsruutimisse ja NAT-teele, seega VPN-kliendi marsruudid ja filtrid loevad jälle. See on paigutus, kus virtuaalmasin tõesti järgib hosti VPN-i ja kus kill switch võib külalise täielikult ära lõigata.

Privaatsel lülitil pole hosti adapterit ega ühendust üles. Külalised räägivad omavahel ja mitte millegi muuga, seega kui privaatsel lülitil olev virtuaalmasin ei pääse internetti, on puuduv ruuter põhjus ja VPN on asjakohatu.

Vaikelüliti on omaette lahendus

Windows pakub vaikelüliti, mis ühendab sisemise lüliti NAT-i ja DNS-proxyga. Selle alavõrgu valib host, see võib pärast taaskäivitust muutuda ega ole sama objekt kui teie loodud NAT-võrk. Selle ümberehitamine nagu laborivõrku on viis, kuidas inimesed jõuavad kahe NAT-i ja külaliseni, kellel ikka marsruuti pole.

Kui virtuaalmasin on vaikelülitil, lugege külalise saadud aadress ja võrrelge seda hosti NAT-tabeliga enne VPN-kliendi puudutamist. Külalise lüüsi ja NAT-i prefiksi lahknevus seletab rohkem tõrkeid kui ükski kliendiseade.

Neli fakti, mis küsimuse lahendavad

Koguge need enne millegi muutmist: lüliti tüüp ja selle ühendus üles, virtuaalmasinaga seotud adapter, külalise enda aadress, lüüs ja DNS ning hosti NAT-i ja vaikemarsruudi olek. Ainult lugemiseks mõeldud käsud on Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat, ja Get-NetRoute -DestinationPrefix 0.0.0.0/0; ja külalise sees annab ipconfig /all ülejäänu.

Seejärel otsustage, mida külaline peaks tegema. Kui ta peaks jääma VPN-ist välja, hankige teenusepakkuja toetatud erand täpselt selle tee jaoks, sest hosti käivitatava faili välistamine ei vabasta edastatavat virtuaalmasina liiklust. Kui ta peaks VPN-i kasutama, kinnitage kliendi dokumenteeritud virtuaalmasina liikluse käsitlus, selle asemel et eeldada, et hosti brauseri test seda katab.

Test külalise sees on ainus tõend, mis loeb. Kontrollige väljumisaadressi külalisest, lahendage sisemine nimi, ühendage VPN uuesti ja korrake. Hosti brauseri tulemus ei asenda midagi sellest.

Mida müüt maksab

Inimesed lülitavad kill switchi välja, lisavad staatilisi marsruute või kustutavad ja loovad lüliteid uuesti, et test läbi läheks. Iga otsetee muudab tõrkeviisi: külaline võib internetti jõuda teed, mida keegi ei kavatsenud, või host võib kaotada ühenduse, kui väline lüliti oma füüsilise kaardi uuesti seob.

Välise lüliti uuesti sidumine katkestab hosti enda juurdepääsu, seega hoidke väliskanali tee avatud ja vältige lülitite kustutamist, kui alles diagnoosite. Õige tulemus on kavandatud külalise tee, sealhulgas see, kuidas ta uuesti ühendub ja kuidas ta ebaõnnestub, mitte ühe lehe laadimise roheline linnuke.

Püsiv vastus on üks rida virtuaalmasina kohta inventuuris: millist lülitit see kasutab ja milline komponent annab selle lüüsi. Kui see on kirjas, on järgmine VPN-i muudatus otsing, mitte terve pärastlõuna oletusi.