Kotilabin hypervisor ei tavoitettavissa VPN:n yli: mistä etsiä

Tunneli nousee, hypervisorin verkkosivu aikakatkaistaan ja asiakas sanoo olevansa yhteydessä. Tämä yhdistelmä sulkee pois yllättävän paljon: VPN-kättely toimii, asiakkaalla on osoite ja päätepiste on tavoitettavissa. Jäljelle jää lyhyt lista reititys- ja käytäntökysymyksiä, ja niillä on luonnollinen järjestys. Käy ne läpi hypervisorista ulospäin äläkä asiakkaasta sisäänpäin, koska hypervisorin oma tila on halvin asia vahvistaa.

Aloita hallintasegmentistä

Vahvista hypervisorin hallintaosoite ja siinä kuunteleva palvelu, ja vahvista, että sivu latautuu toiselta isännältä samassa segmentissä ennen kuin diagnosoit mitään etänä. Epäonnistuva paikallinen testi ei ole VPN-ongelma, ja se on viiden minuutin tarkistus, joka säästää tunnin.

Sitten kaksi reittiä. VPN-asiakas tarvitsee reitin hallintaverkkoon, mikä yleensä tarkoittaa, että asiakkaan AllowedIPs tai työnnetyt reitit sisältävät sen aliverkon. Hypervisor tai sen oletusyhdyskäytävä tarvitsee paluureitin asiakasosoitteiden pooliin, ellei suunnittelu tarkoituksella käännä lähdettä sisääntulossa. Nämä ovat kaksi erillistä tosiasiaa, ja kumman tahansa puuttuminen tuottaa saman aikakatkaisun. Tarkista ne erikseen: ip route get 192.168.10.20 asiakkaalla ja kaappaus hypervisorin isännällä, joka näyttää, saapuiko paketti ylipäätään.

Salli todellinen etähallinnoija

Valtuutus on eri kysymys kuin tavoitettavuus. Käytä yhdyskäytävä- ja isäntäkäytäntöä, joka on rajattu lähteisiin ja palveluihin, jotka tarvitsevat hallintakäyttöä. Vieras-VPN-tili, joka tarvitsee yhden laboratoriosovelluksen, ei saisi siten päästä hallintatasolle, ja litteä sääntö, joka päästää koko tunnelin aliverkon, on se tapa, jolla niin käy.

Pidä hypervisorin oma todennus ja varmennetarkistukset päällä. Yksityinen reitti ei ole syy klikata odottamattoman identiteettivaroituksen läpi.

Varoitus kannattaa käsitellä löydöksenä eikä esteenä. Jos varmenne ei vastaa käyttämääsi nimeä, joko nimi on väärä tai palvelu ei ole se jota luulet, ja molemmat vastaukset merkitsevät hallintaliittymässä enemmän kuin missään muualla. Saavuta sivu nimellä, jolle varmenne myönnettiin, ja anna DNS:n osoittaa se nimi tunnelin osoitteeseen. Yksityinen nimi, joka ratkeaa epäjohdonmukaisesti LANin ja tunnelin välillä, on yleinen syy varmennevalituksiin, jotka näyttävät VPN-vioilta.

Tarkista toissijaiset yhteydet

Jotkin ominaisuudet käyttävät yhteyksiä, joita verkkosivu ei käytä. Konsoli-istunto, ISO-lataus, VNC- tai SPICE-välityspalvelin ja migraatiokanava voivat kukin käyttää eri porttia tai eri isäntäosoitetta. Kun sivu latautuu ja yksi ominaisuus epäonnistuu, lue kyseisen tuotteen vaatimus sen sijaan että avaisit jokaisen portin isännällä.

Kaiken avaaminen on se tapa, jolla hallintaliittymästä tulee hallitsematon. Jokainen lisäportti on yksi kuuntelija lisää paikattavaksi, ja hypervisor paljastaa niitä jo tarpeeksi. Tunnista se tietty yhteys, jonka ominaisuus tarvitsee, vahvista että se on tavoitettavissa tunnelin kautta, ja jätä loput kiinni. Jos ominaisuus vaatii suoraa yhteyttä isäntäosoitteeseen, jota ei voi reitittää tunnelisi kautta, se on suunnittelurajoitus, joka on kierrettävä tarkoituksella, ei syy välittää aluetta eteenpäin.

Pidä paluutie ennen kuin kosket verkkoon

Ennen kuin muutat virtuaaliverkkoa, joka kuljettaa omaa VPN:ääsi, vahvista, että sinulla on paikallinen tai riippumaton paluutie.

Tämä merkitsee kotilabissa eniten, koska VPN:n päätepiste on usein virtuaalikone juuri sillä hypervisorilla, johon yrität päästä. Virtuaalikytkimen, sillan tai palomuurisäännön muuttaminen etänä voi poistaa reitin, jota käytät, ja istunto voi kestää tarpeeksi kauan nähdäksesi sen tapahtuvan.

Testaa laboratorion ulkopuolelta äläkä LANista, ja vahvista hylkäykset yhtä hyvin kuin sallimiset. Verkon, jonka pitäisi pysyä tunnelista tavoittamattomana, pitäisi pysyä sellaisena myös muutoksesi jälkeen, ja se on erillinen väite hallintasivun latautumisesta. Kirjoita molemmat tulokset, koska toinen niistä ohitetaan ja se on se, jolla on merkitystä laboratorion kasvaessa.

Tallennettava kirjaus on lyhyt: hallintaosoite ja -palvelu, reitti jonka kumpikin puoli tarvitsee, identiteetit joilla on lupa päästä perille, ja palautumistie. Se riittää, että seuraava henkilö voi toistaa toimivan tilan ilman sen uudelleen johtamista.

Jos sivu aikakatkaistaan kaiken tämän jälkeen, kaappaa hypervisorilla ja etsi paketti ennen kuin muutat toista sääntöä. Paketti, joka ei koskaan saavu, on reititys- tai palomuurikysymys; paketti, joka saapuu ja hylätään, on palvelu- tai käytäntökysymys; paketti, joka saapuu ja siihen vastataan asiakkaan odottaessa, on paluureittikysymys. strongSwanin edelleenlähetysdokumentaatio kertoo, miten Linux-yhdyskäytävä välittää tunneliliikennettä sisäiselle isännälle. Kolme kaappausta voittaa yhden arvauksen lisää.