Hypervisor fan thúslab net berikber oer VPN: wêr't jo sykje moatte

De tunnel komt omheech, de webside fan de hypervisor rint yn in tiidlimit en de klant seit dat er ferbûn is. Dy kombinaasje slút fernuverjend folle út: de VPN-hânskikking wurket, de klant hat in adres en it einpunt is berikber. Wat oerbliuwt is in koarte list mei fragen oer rûtelearring en belied, en se hawwe in natuerlike folchoarder. Wurkje se fan de hypervisor nei bûten ta ynstee fan fan de klant nei binnen, want de eigen steat fan de hypervisor is it goedkeapste om te befêstigjen.

Begjin by it behearsegment

Befêstigje it beheadres fan de hypervisor en de tsjinst dy't dêr op harket, en befêstigje dat de side fan in oare host yn dat segment ladenet foardat jo eat op ôfstân diagnostearje. In lokale test dy't mislearret is gjin VPN-probleem, en it is in kontrôle fan fiif minuten dy't in oere besparret.

Dan de twa paden. De VPN-klant hat in rûte nei it behearnetwurk nedich, wat meastentiids betsjut dat de AllowedIPs fan de klant of trochstjoerde rûtes dat subnet omfetsje. De hypervisor, of syn standertgateway, hat in weromwei nei de klantadrespool nedich, útsein as it ûntwerp de boarne by de yngong bewust oerset. Dat binne twa aparte feiten en it ûntbrekken fan ien fan beide jout deselde tiidlimit. Kontrolearje se apart: ip route get 192.168.10.20 op de klant, en in opname op de hypervisorhost dy't sjen lit oft it pakket oait oankaam.

Lit de wirklike remote-behearder ta

Autorisaasje is in oare fraach as berikberens. Brûk gateway- en hostbelied beheind ta de boarnen en tsjinsten dy't behearder tagong nedich hawwe. In gast-VPN-account dat ien labapplikaasje nedich hat, moat dêrtroch net it behearflak berikke, en in flakke regel dy't it hiele tunnelsubnet talit is hoe't dat bart.

Hâld de eigen autentikaasje fan de hypervisor en de sertifikaatkontrôles oan. In priveerûte is gjin reden om troch in ûnferwachte identiteitswarskôging te klikken.

It is de muoite wurdich de warskôging as in befinning te behanneljen en net as in obstakel. As it sertifikaat net oerienkomt mei de namme dy't jo brûkt hawwe, is of de namme ferkeard of is de tsjinst net dy't jo tinke, en beide antwurden telle mear op in behearinterface as earne oars. Berik de side ûnder de namme wêrfoar it sertifikaat útjûn is, en lit DNS dy namme nei it tunneladres wizen. In priveenamme dy't ynkonsistint oplost tusken it LAN en de tunnel is in faak foarkommende oarsaak fan sertifikaatklachten dy't op VPN-stoarringen lykje.

Kontrolearje sekundêre ferbiningen

Guon funksjes brûke ferbiningen dy't de webside net brûkt. In konsolesesje, in ISO-upload, in VNC- of SPICE-proxy en in migraasjekanaal kinne elk in oare poarte of in oar hostadres brûke. As de side ladenet en ien funksje mislearret, lês dan de eask fan dat produkt ynstee fan elke poarte op de host te iepenjen.

Alles iepenje is hoe't in behearinterface in net-behearderde wurdt. Eltse ekstra poarte is wer in listener dy't byholden wurde moat, en in hypervisor lit der al genôch sjen. Identifisearje de spesifike ferbining dy't de funksje nedich hat, befêstigje dat dy troch de tunnel berikber is, en lit de rest ticht. As de funksje oanstiet op in direkte ferbining nei in hostadres dat net troch jo tunnel rûte wurde kin, is dat in ûntwerpprinsipe om bewust omhinne te wurkjen, gjin reden om in berik troch te stjoeren.

Hâld in weromwei foardat jo it netwurk oanreizgje

Foardat jo it firtuele netwurk feroarje dat jo eigen VPN draacht, befêstigje dan dat jo in lokale of ûnôfhinklike weromwei hawwe.

Dat jildt it meast yn in thúslab, want it VPN-einpunt is faak in firtuele masine op itselde hypervisor dy't jo besykje te berikken. It feroarjen fan in firtuele switch, in brêge of in firewallregel op ôfstân kin it paad fuorthelje dat jo brûke, en de sesje kin lang genôch oerlibje om dat te sjen.

Test fan bûten it lab ynstee fan fan it LAN, en ferifiearje de wegeringen likegoed as de tastimmingen. In netwurk dat fan de tunnel ôf ûnberikber bliuwe moat, moat dat ek nei jo feroaring bliuwe, en dat is in aparte bewearing fan it laden fan de behearside. Skriuw beide resultaten op, want it twadde is dejinge dy't oerslein wurdt en dejinge dy't telt as it lab groeit.

It ferslach dat jo hâlde moatte is koart: it beheadres en de tsjinst, de rûte dy't elke kant nedich hat, de identiteiten dy't der komme meie, en it werstelpaad. Dat is genôch foar de folgjende persoan om de wurkjende steat te reprodusearjen sûnder dy opnij ôf te lieden.

As de side nei dat alles noch yn in tiidlimit rint, meitsje dan in opname op de hypervisor en sykje it pakket foardat jo noch in regel feroarje. In pakket dat nea oankomt is in fraach fan rûtelearring of firewall; in pakket dat oankomt en wegere wurdt is in fraach fan tsjinst of belied; in pakket dat oankomt en beäntwurde wurdt wylst de klant wachtet is in fraach fan weromwei. De dokumintaasje fan strongSwan oer trochstjoeren behannelet hoe't in Linux-gateway tunnelferkear nei in interne host trochstjoert. Trije opnames ferslaan noch ien gissing.