هایپروایزر آزمایشگاه خانگی از طریق VPN در دسترس نیست: کجا را بررسی کنیم
تونل برپاست و صفحهٔ هایپروایزر بارگذاری نمی‌شود. بخش مدیریت، مسیر بازگشت به مجموعهٔ آدرس‌های کلاینت و سپس سیاست میزبان را بررسی کنید.
تونل بالا می‌آید، صفحهٔ وب هایپروایزر به پایان زمان می‌رسد و کلاینت می‌گوید که متصل است. این ترکیب چیزهای شگفت‌آوری را رد می‌کند: دست‌دادن VPN کار می‌کند، کلاینت آدرس دارد و نقطهٔ پایانی در دسترس است. آنچه می‌ماند فهرست کوتاهی از پرسش‌های مسیریابی و سیاست است و ترتیب طبیعی دارند. آن‌ها را از هایپروایزر به بیرون کار کنید نه از کلاینت به درون، چون وضعیت خود هایپروایزر ارزان‌ترین چیزی است که می‌توان تأیید کرد.
با بخش مدیریت شروع کنید
آدرس مدیریت هایپروایزر و سرویسی که روی آن گوش می‌دهد را تأیید کنید و پیش از هر تشخیص از راه دور تأیید کنید که صفحه از میزبان دیگری در همان بخش بارگذاری می‌شود. آزمون محلی که شکست می‌خورد مسئلهٔ VPN نیست و بررسی پنج‌دقیقه‌ای است که یک ساعت صرفه‌جویی می‌کند.
سپس دو مسیر. کلاینت VPN به مسیری به شبکهٔ مدیریت نیاز دارد که معمولاً یعنی AllowedIPs کلاینت یا مسیرهای هل‌داده‌شده آن زیرشبکه را در بر می‌گیرند. هایپروایزر یا دروازهٔ پیش‌فرضش به مسیر بازگشت به مجموعهٔ آدرس‌های کلاینت نیاز دارد، مگر اینکه طراحی عمداً مبدأ را در ورودی ترجمه کند. این‌ها دو واقعیت جداگانه‌اند و نبود هر یک همان پایان زمان را می‌سازد. آن‌ها را جدا بررسی کنید: ip route get 192.168.10.20 روی کلاینت و یک ضبط روی میزبان هایپروایزر که نشان دهد بسته اصلاً رسیده است یا نه.
به مدیر راه دور واقعی اجازه بدهید
مجوزدهی پرسشی جدا از دسترس‌پذیری است. سیاست دروازه و میزبان را به منابع و سرویس‌هایی محدود کنید که به دسترسی مدیریت نیاز دارند. حساب VPN مهمانی که به یک برنامهٔ آزمایشگاهی نیاز دارد نباید از این راه به سطح مدیریت برسد و قاعدهٔ تخت که کل زیرشبکهٔ تونل را می‌پذیرد همان راهی است که این اتفاق می‌افتد.
احراز هویت خود هایپروایزر و بررسی‌های گواهی را روشن نگه دارید. مسیر خصوصی دلیلی برای کلیک کردن از یک هشدار هویت غیرمنتظره نیست.
ارزش دارد هشدار را یافته بدانیم نه مانع. اگر گواهی با نامی که استفاده کردید نمی‌خواند، یا نام اشتباه است یا سرویس همانی نیست که فکر می‌کنید، و هر دو پاسخ در یک رابط مدیریت بیش از هر جای دیگری اهمیت دارند. صفحه را با نامی که گواهی برای آن صادر شده باز کنید و بگذارید DNS آن نام را به آدرس تونل اشاره دهد. نام خصوصی‌ای که میان LAN و تونل ناسازگار حل می‌شود علت رایج شکایت‌های گواهی است که شبیه خطای VPN به نظر می‌رسند.
اتصال‌های ثانویه را بررسی کنید
برخی امکانات از اتصال‌هایی استفاده می‌کنند که صفحهٔ وب از آن‌ها استفاده نمی‌کند. نشست کنسول، بارگذاری ISO، پروکسی VNC یا SPICE و کانال مهاجرت هر یک می‌توانند از درگاه متفاوت یا آدرس میزبان متفاوتی استفاده کنند. وقتی صفحه بارگذاری می‌شود و یک امکان شکست می‌خورد، نیاز آن محصول را بخوانید نه اینکه هر درگاهی روی میزبان باز کنید.
باز کردن همه چیز همان راهی است که یک رابط مدیریت به رابطی بدون مدیریت تبدیل می‌شود. هر درگاه اضافی شنوندهٔ دیگری است که باید وصله شود و هایپروایزر از قبل به اندازهٔ کافی آن‌ها را آشکار می‌کند. اتصال مشخصی را که آن امکان نیاز دارد شناسایی کنید، تأیید کنید که از تونل در دسترس است و بقیه را بسته بگذارید. اگر امکان بر اتصال مستقیم به آدرس میزبانی پافشاری می‌کند که از تونل شما مسیریابی نمی‌شود، این یک محدودیت طراحی است که باید عمداً دور زده شود، نه دلیلی برای هدایت یک بازه.
پیش از دست زدن به شبکه راه بازگشتی نگه دارید
پیش از تغییر شبکهٔ مجازی‌ای که VPN خودتان را حمل می‌کند، تأیید کنید که راه بازگشت محلی یا مستقلی دارید.
این در آزمایشگاه خانگی بیشترین اهمیت را دارد، چون نقطهٔ پایانی VPN اغلب ماشین مجازی روی همان هایپروایزری است که می‌خواهید به آن برسید. تغییر یک سوئیچ مجازی، یک پل یا یک قاعدهٔ دیوار آتش از راه دور می‌تواند مسیری را که استفاده می‌کنید بردارد و نشست ممکن است به‌قدری دوام بیاورد که این را ببینید.
از بیرون آزمایشگاه آزمایش کنید نه از LAN، و ردها را همان‌قدر که اجازه‌ها را بررسی می‌کنید. شبکه‌ای که باید از تونل دسترس‌ناپذیر بماند باید پس از تغییر شما هم دسترس‌ناپذیر بماند و این ادعایی جدا از بارگذاری صفحهٔ مدیریت است. هر دو نتیجه را بنویسید، چون نتیجهٔ دوم همان است که از قلم می‌افتد و وقتی آزمایشگاه بزرگ می‌شود اهمیت دارد.
سندی که باید نگه دارید کوتاه است: آدرس و سرویس مدیریت، مسیری که هر طرف نیاز دارد، هویت‌هایی که اجازهٔ رسیدن دارند و مسیر بازیابی. این برای نفر بعدی کافی است تا وضعیت کارکننده را بدون استنتاج دوباره بازتولید کند.
اگر صفحه پس از همهٔ این‌ها همچنان به پایان زمان برسد، روی هایپروایزر ضبط کنید و پیش از تغییر قاعدهٔ دیگری دنبال بسته بگردید. بسته‌ای که هرگز نمی‌رسد پرسش مسیریابی یا دیوار آتش است؛ بسته‌ای که می‌رسد و رد می‌شود پرسش سرویس یا سیاست است؛ بسته‌ای که می‌رسد و پاسخ می‌گیرد در حالی که کلاینت منتظر است پرسش مسیر بازگشت است. مستندات strongSwan دربارهٔ ارسال توضیح می‌دهد که چگونه یک دروازهٔ لینوکس ترافیک تونل را به میزبان داخلی ارسال می‌کند. سه ضبط بر یک حدس دیگر پیروز می‌شود.