Käyttääkö Hyper-V-virtuaalikone isäntäkoneen VPN:ää? Se riippuu kytkimestä

Asenna VPN-asiakas Hyper-V-isäntään, avaa siellä selain ja lähtöosoite muuttuu; avaa sama sivu virtuaalikoneen sisällä ja se voi näyttää vanhan osoitteen tai ei mitään. Tavallinen johtopäätös on, että virtuaalikone on rikki tai että jaettu tunnelointi on otettava käyttöön. Kumpikaan ei seuraa. VPN-asiakas ei ole koneen ominaisuus; se on joukko reittejä, virtuaalinen sovitin ja usein tiettyihin liitäntöihin kiinnitetty suodatin. Kohtaako vieraan liikenne koskaan tätä koneistoa, riippuu virtuaalikytkimestä, jota vieras käyttää.

Myytti, suoraan sanottuna

Uskomus on, että isäntään asennettu VPN suojaa koko konetta, myös virtuaalikoneita, koska virtuaalikone on vain prosessi, joka pyörii sillä koneella. Se on mukava uskomus, koska virustorjunta ja isännän palomuurit käyttäytyvät yleensä niin. Verkkoreitit eivät.

Isännän VPN-pino koskee vieraan kehystä vain, jos isäntä reitittää tai suodattaa sen. Kirjoita tuo lause muistilapulle, sillä jokainen alla oleva tapaus on sen muunnelma.

Kolme kytkintyyppiä, kolme polkua

Ulkoinen kytkin sitoo virtuaalisen sovittimen fyysiseen verkkokorttiin, ja vieras lähettää kehykset tämän sidoksen kautta omalla MAC-osoitteellaan. Vieraasta tulee fyysisen verkon vertainen jäsen, jolla on oma DHCP-vuokraus, yhdyskäytävä ja DNS-palvelimet. Isännän VPN-oletusreitti elää isännän pinossa eikä siirrä näitä kehyksiä, koska ne sillataan eikä reititetä isännän kautta. Siksi ulkoinen kytkin Wi-Fi-sovittimen päällä on huono ajatus: useimmat langattomat ajurit eivät kuljeta kehyksiä toiselle MAC-osoitteelle.

Sisäinen kytkin yhdistää vieraat isännän virtuaaliseen sovittimeen. Yksinään se ei tarjoa internetlähtöä; isännän NAT-objekti hoitaa käännöksen, kuten on kuvattu Hyper-V:n NAT-oppaassa. Nyt vieraan paketit todella tulevat isännän reititykseen ja NAT-polulle, joten VPN-asiakkaan reitit ja suodattimet merkitsevät taas. Tässä järjestelyssä virtuaalikone todella seuraa isännän VPN:ää ja kill switch voi katkaista vieraan kokonaan.

Yksityisellä kytkimellä ei ole isännän sovitinta eikä ylälinkkiä. Vieraat puhuvat keskenään eivätkä minkään muun kanssa, joten jos yksityisellä kytkimellä olevalla virtuaalikoneella ei ole internettiä, puuttuva reititin on syy ja VPN on merkityksetön.

Oletuskytkin on oma järjestelynsä

Windows toimittaa oletuskytkimen, joka yhdistää sisäisen kytkimen NAT:iin ja DNS-välityspalvelimeen. Sen aliverkon valitsee isäntä, se voi muuttua uudelleenkäynnistysten jälkeen eikä ole sama objekti kuin itse luomasi NAT-verkko. Sen uudelleenrakentaminen kuin laboratorioverkko on tapa, jolla ihmiset päätyvät kahteen NAT:iin ja vieraaseen, jolla ei vieläkään ole reittiä.

Jos virtuaalikone on oletuskytkimellä, lue vieraan saama osoite ja vertaa sitä isännän NAT-tauluun ennen kuin kosket VPN-asiakkaaseen. Vieraan yhdyskäytävän ja NAT-etuliitteen välinen ristiriita selittää useampia vikoja kuin mikään asiakasasetus.

Neljä tosiasiaa, jotka ratkaisevat kysymyksen

Kerää nämä ennen kuin muutat mitään: kytkimen tyyppi ja sen ylälinkki, virtuaalikoneeseen liitetty sovitin, vieraan oma osoite, yhdyskäytävä ja DNS sekä isännän NAT- ja oletusreittitila. Vain luku -komennot ovat Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat, ja Get-NetRoute -DestinationPrefix 0.0.0.0/0; ja vieraan sisällä ipconfig /all antaa loput.

Päätä sitten, mitä vieraan pitäisi tehdä. Jos sen pitäisi pysyä VPN:n ulkopuolella, hanki palveluntarjoajan tukema poikkeus juuri sille polulle, sillä isännän suoritettavan tiedoston poissulkeminen ei vapauta edelleen lähetettävää virtuaalikoneen liikennettä. Jos sen pitäisi käyttää VPN:ää, vahvista asiakkaan dokumentoitu virtuaalikoneen liikenteen käsittely sen sijaan, että olettaisit isännän selaimessa tehdyn testin kattavan sen.

Vieraan sisällä tehty testi on ainoa todiste, joka ratkaisee. Tarkista lähtöosoite vieraasta, ratkaise sisäinen nimi, yhdistä VPN uudelleen ja toista. Isännän selaintulos ei korvaa mitään tästä.

Mitä myytti maksaa

Ihmiset kytkevät kill switchin pois, lisäävät staattisia reittejä tai poistavat ja luovat kytkimiä uudelleen vain saadakseen testin läpi. Jokainen oikotie muuttaa vikatilaa: vieras voi päästä internettiin polkua, jota kukaan ei tarkoittanut, tai isäntä voi menettää yhteyden, kun ulkoinen kytkin sitoo fyysisen korttinsa uudelleen.

Ulkoisen kytkimen uudelleensidonta keskeyttää isännän oman pääsyn, joten pidä kaistan ulkopuolinen polku auki ja vältä kytkimien poistamista, kun vielä diagnosoit. Oikea tulos on vieraan aiottu polku, mukaan lukien miten se yhdistyy uudelleen ja miten se epäonnistuu, ei yhden sivun latauksen vihreä merkki.

Kestävä vastaus on yksi rivi virtuaalikonetta kohden inventaariossa: mitä kytkintä se käyttää ja mikä komponentti tarjoaa sen yhdyskäytävän. Kun se on kirjoitettu, seuraava VPN-muutos on haku eikä kokonainen iltapäivä arvailua.