VPN päällä, VM tavoittamaton? Reitti ei todennäköisesti koskaan ollut ongelma

Yhdistä VPN, ja kehitys-VM, joka vielä minuutti sitten vastasi, vaikenee. Ilmeinen tarina kirjoittaa itsensä: tunneli otti reitin haltuunsa, isäntä lähettää nyt vieraan liikennettä yritysverkkoon, ja korjaus on lisätä staattinen reitti tai vaihtaa sovitin silta-tilaan. Tuo tarina on joskus totta. Mutta se ei ole tavallinen syy, ja sen mukaan ensin toimiminen rikkoo yleensä jotain muuta.

Host-only-verkko on ohjelmistopohjainen verkko, jonka isäntä omistaa ja jakaa vieraittensa kanssa, erillään kaikista fyysisistä liitännöistä. Mikään VPN-asiakasohjelman omassa käyttöliittymässä ei muuta tuota verkkoa, joten ennen kuin kosket siihen, selvitä, mikä neljästä kerroksesta todella petti.

Reitti on yleensä edelleen paikallinen

Kysy ytimeltä reititystaulukon etusivun sijaan. Linuxissa ip route get 192.168.56.10 ilmoittaa tarkan reitin, liitännän ja lähdeosoitteen, joita käytettäisiin, mikä on eri vastaus kuin oletusreitin lukeminen ja arvaaminen. Jos tuloste nimeää host-only-liitännän, tunneli ei ole tuossa polussa lainkaan osallisena.

Kaksi asiaa voi todella rikkoa sen, ja molemmat ovat osoiteongelmia eikä VPN-ongelmia. Host-only-etuliitteen kanssa päällekkäinen etäaliverkko saa tarkemman reitin voittamaan, ja laajan reitin alemmalla metrikalla asentava VPN-asiakasohjelma voi vetää etuliitteen pois. Molemmat näkyvät samassa komennossa: tulosteessa nimetty liitäntä on tunneli, ja korjaus kuuluu sille, joka omistaa tuon osoitesuunnitelman.

Reitin valinta ja paketin päästäminen ovat eri päätöksiä

Tämä on se osa, jonka mielenmalli yleensä jättää huomiotta. Jopa täydellisellä paikallisella reitillä VPN-asiakasohjelma voi hylätä paketin. Monet asiakasohjelmat toteuttavat paikallisen verkon käyttöoikeuskäytännön, joka päättää, mitkä kohteet sallitaan tunnelin ulkopuolella, eikä yhdistetty aliverkko päivitä sitä luetteloa automaattisesti.

Niinpä vika näyttää sovelluksen puolelta identtiseltä reititysongelmalta ja asiakasohjelman puolelta täysin erilaiselta. Jos ip route get nimeää oikean liitännän ja yhteys silti aikakatkeaa, lopeta reittien muokkaaminen ja lue sen sijaan asiakasohjelman dokumentoitu paikallisen käytön toiminta. Jotkut asiakasohjelmat tarjoavat sallittujen luettelon paikallisille aliverkoille, jotkut estävät kaiken mikä ei ole tunneli, ja jotkut estävät vain silloin, kun kill switch on käytössä.

Tuo ero on merkityksellinen, koska korjaukset eivät ole vaihdettavissa keskenään. Reitin lisääminen ei voi tyydyttää suodatinta, ja suodattimen poistaminen yhden vieraan saavuttamiseksi on paljon suurempi päätös kuin oire antaa ymmärtää.

Vieraalla on kolme tapaa sanoa ei

Vieras, joka pystyy selaamaan internetiä, ei ole todistanut mitään haluamastasi palvelusta. Kuuntelija voi olla sidottu vieraassa osoitteeseen 127.0.0.1, jolloin mikään isännän pyyntö ei voi saapua, niin hyvä kuin polku onkaan. Tarkista vieraassa komennolla ss -ltn ja katso paikallisen osoitteen saraketta, älä vain porttia.

Seuraavaksi tulee vieraan oma palomuuri. Rajoittavalla oletusasetuksella varustettu kehityskuva voi hyväksyä isännän paketit ja pudottaa ne palvelun rajalla, mikä tuottaa aikakatkaisun, joka näyttää täsmälleen reitityksen mustalta aukolta. Lopuksi on palvelun oma kokoonpano: tiettyyn isäntänimeen sidottu verkkosovellus tai asiakasosoitteiden sallittujen luettelo hylkää host-only-aliverkosta tulevan pyynnön, vaikka jokainen paketti saapuisi.

Käy nuo kolme läpi ennen kuin harkitset VM:n verkkotilan vaihtamista. Jokainen on pienempi muutos kuin vieraan liitännän uudelleenrakentaminen, ja jokaisella on selkeä testi.

Mikä silta todella on ja mitä se maksaa

Sovittimen vaihtaminen silta-tilaan ei ole host-only-polun korjaus. Se on päätös sijoittaa vieras toiseen verkkoon, yleensä fyysiseen lähiverkkoon, jossa siitä tulee näkyvä kaikelle muulle siellä olevalle. Se voi olla täsmälleen sitä, mitä haluat. Mutta se ei ole se, mitä alkuperäinen kokoonpano teki.

Käytä sitä, kun vieraan todella täytyy olla vertaisjäsen tuossa lähiverkossa ja altistus on hyväksytty. Älä käytä sitä siksi, että yksi palvelu lakkasi vastaamasta, sillä muutos voi siirtää vieraan pois eristyksestä, joka teki siihen kohdistuvan kehityksen turvalliseksi.

Testaa jokaisen hyväksytyn korjauksen jälkeen kiinteässä järjestyksessä: uusi pyyntö isännästä vieraaseen, tarvittava yritysresurssi tunnelin kautta ja aiottu hylätty käyttäytyminen tunnelin ollessa alhaalla. Jos viimeinen ei enää päde, korjaus meni ongelmaa pidemmälle.

VirtualBoxin host-only-verkkoa koskeva osio kuvaa isännän puolen ohjelmistorajapinnan ja sen, miten se eroaa siltaliitännästä, ja se on viite, joka kannattaa lukea ennen kuin olettaa kahden tilan olevan vaihdettavissa.