Brûkt in Hyper-V-firtuele masine de VPN fan de host? It hinget fan 'e switch ôf

Ynstallearje in VPN-klant op 'e Hyper-V-host, iepenje dêr in browser en it útgongsadres feroaret; iepenje deselde side yn 'e firtuele masine en dy kin it âlde adres sjen litte, of hielendal neat. De gewoane konklúzje is dat de firtuele masine stikken is, of dat split tunneling oan moat. Gjin fan beide folget. In VPN-klant is gjin eigenskip fan 'e masine; it is in set rûtes, in firtuele adapter en faak in filter ferbûn oan bepaalde ynterfaces. Oft gastferkear dy masjinerie ea treft, hinget ôf fan 'e firtuele switch dy't de gast brûkt.

De myte, plat sein

It leauwen is dat in VPN op 'e host de hiele masine beskermet, firtuele masines ynbegrepen, om't in firtuele masine gewoan in proses op dy masine is. It is in noflik leauwen, want antivirus en host-firewalls dogge dat gewoanwei. Netwurkpaden net.

It frame fan in gast wurdt allinnich troch de VPN-stapel fan 'e host oanrekke as de host it rûte of filteret. Skriuw dy sin op in plakbriefke, want elk gefal hjirûnder is in fariaasje dêrop.

Trije switchtypen, trije paden

In eksterne switch bynt in firtuele adapter oan in fysike netwurkkaart, en de gast stjoert frames fia dy bining mei syn eigen MAC-adres. De gast wurdt in gelikense op it fysike netwurk, mei syn eigen DHCP-lease, gateway en DNS-tsjinners. De standertrûte fan 'e VPN fan 'e host libbet yn 'e stapel fan 'e host en ferpleatst dy frames net, om't se brêge wurde yn stee fan fia de host rûte. Dêrom is in eksterne switch oer in Wi-Fi-adapter ek in min idee: de measte draadleaze stjoerders drage gjin frames foar in twadde MAC-adres.

In ynterne switch ferbynt gasten mei in firtuele adapter fan 'e host. Op himsels jout er gjin internetútgong; in NAT-objekt op 'e host soarget foar oersetting, lykas beskreaun yn 'e Hyper-V NAT-gids. No komme de pakketten fan 'e gast echt yn 'e routing en it NAT-pad fan 'e host, dus de rûtes en filters fan 'e VPN-klant telle wer mei. Dit is de opstelling wêrby't de firtuele masine de VPN fan 'e host echt folget, en wêrby't in kill switch de gast hielendal ôfsnije kin.

In privee switch hat gjin host-adapter en gjin uplink. Gaste prate mei elkoar en mei neat oars, dus as in firtuele masine op in privee switch gjin internet hat, is de ûntbrekkende router de oarsaak en is de VPN net fan belang.

De standertswitch is in eigen opstelling

Windows leveret in standertswitch dy't in ynterne switch mei NAT en in DNS-proxy kombinearret. It subnet wurdt troch de host keazen, kin nei werstarts feroarje en is net itselde objekt as in NAT-netwurk dat jo sels meitsje. It opnij bouwe as wie it in laboratoariumnetwurk is hoe't minsken einigje mei twa NAT's en in gast sûnder rûte.

As de firtuele masine op 'e standertswitch sit, lês dan it adres dat de gast krige en fergelykje it mei de NAT-tabel fan 'e host foardat jo de VPN-klant oanreitsje. In mismatch tusken de gateway fan 'e gast en it NAT-prefiks ferklearret mear flaters as hokker kliïntynstelling dan ek.

Fjouwer feiten dy't de fraach besljochtsje

Sammelje dit foardat jo eat feroarje: it switchtype en syn uplink, de adapter oan 'e firtuele masine, it eigen adres, de gateway en DNS fan 'e gast, en de NAT- en standertroutestatus fan 'e host. De allinnich-lêzen-opdrachten binne Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat, en Get-NetRoute -DestinationPrefix 0.0.0.0/0; en yn 'e gast jout ipconfig /all de rest.

Beslút dan wat de gast dwaan moat. As er bûten de VPN bliuwe moat, helje dan de stipe útsûndering fan 'e oanbieder foar krekt dat paad, want it útsluten fan in útfierber bestân fan 'e host befrijt trochjûn VM-ferkear net. As er de VPN brûke moat, befêstigje dan de dokumintearre omgong fan 'e kliïnt mei VM-ferkear ynstee fan oan te nimmen dat in test yn 'e browser fan 'e host dat dekt.

In test yn 'e gast is it iennichste bewiis dat telt. Kontrolearje it útgongsadres fan 'e gast, los in yntern namme op, ferbin de VPN opnij en werhelje. It browserresultaat fan 'e host ferfangt dêr neat fan.

Wat de myte kostet

Minsken sette de kill switch út, foegje statyske rûtes ta of smite switches fuort en meitsje se opnij allinnich om in test te slagjen. Elk koartpaad feroaret de flatermodus: de gast kin it internet berikke fia in paad dat nimmen bedoelde, of de host kin ferbining ferlieze as in eksterne switch syn fysike kaart opnij bynt.

It opnij binen fan in eksterne switch ûnderbrekt de eigen tagong fan 'e host, dus hâld in bûtenbânich paad iepen en foarkom it fuortsmitten fan switches wylst jo noch diagnostearje. It krekte resultaat is it bedoelde paad fan 'e gast, ynklusyf hoe't er opnij ferbynt en hoe't er mislearret, net in grien flakje fan ien sidebelesting.

It duorsume antwurd is ien rigel per firtuele masine yn 'e ynventaris: hokker switch er brûkt en hokker komponint syn gateway leveret. As dat opskreaun is, is de folgjende VPN-feroaring in opklinking ynstee fan in middei gissen.