होम-लैब हाइपरवाइज़र VPN से अप्राप्य: कहाँ देखें

टनल ऊपर आती है, हाइपरवाइज़र का वेब पेज समय समाप्त हो जाता है, और क्लाइंट कहता है कि वह जुड़ा है। यह संयोजन आश्चर्यजनक रूप से बहुत कुछ बाहर कर देता है: VPN हैंडशेक काम करता है, क्लाइंट के पास पता है, और एंडपॉइंट तक पहुँचा जा सकता है। जो बचता है वह रूटिंग और नीति के सवालों की छोटी सूची है, और उनका एक स्वाभाविक क्रम है। उन्हें क्लाइंट से अंदर की ओर नहीं बल्कि हाइपरवाइज़र से बाहर की ओर काम करें, क्योंकि हाइपरवाइज़र की अपनी स्थिति की पुष्टि करना सबसे सस्ता है।

प्रबंधन खंड से शुरू करें

हाइपरवाइज़र का प्रबंधन पता और उस पर सुनने वाली सेवा की पुष्टि करें, और किसी भी दूरस्थ निदान से पहले पुष्टि करें कि पेज उसी खंड के किसी अन्य होस्ट से लोड होता है। विफल होने वाला स्थानीय परीक्षण VPN समस्या नहीं है, और यह पाँच मिनट की जाँच है जो एक घंटा बचाती है।

फिर दो मार्ग। VPN क्लाइंट को प्रबंधन नेटवर्क तक मार्ग चाहिए, जिसका अर्थ आमतौर पर यह है कि क्लाइंट के AllowedIPs या धकेले गए मार्गों में वह सबनेट शामिल है। हाइपरवाइज़र, या उसके डिफ़ॉल्ट गेटवे को, क्लाइंट पता पूल तक वापसी मार्ग चाहिए, जब तक कि डिज़ाइन प्रवेश पर स्रोत का जानबूझकर अनुवाद न करे। ये दो अलग तथ्य हैं और इनमें से कोई एक न होने पर वही समय समाप्ति होती है। इन्हें अलग-अलग जाँचें: क्लाइंट पर ip route get 192.168.10.20, और हाइपरवाइज़र होस्ट पर एक कैप्चर जो दिखाए कि पैकेट आया भी या नहीं।

वास्तविक दूरस्थ प्रशासक को अनुमति दें

प्राधिकरण पहुँच से अलग प्रश्न है। गेटवे और होस्ट नीति को केवल उन स्रोतों और सेवाओं तक सीमित रखें जिन्हें प्रबंधन पहुँच चाहिए। एक अतिथि VPN खाता जिसे एक लैब एप्लिकेशन चाहिए, उसे उससे प्रबंधन तल तक नहीं पहुँचना चाहिए, और पूरे टनल सबनेट को स्वीकार करने वाला सपाट नियम वही तरीका है जिससे ऐसा होता है।

हाइपरवाइज़र का अपना प्रमाणीकरण और प्रमाणपत्र जाँच चालू रखें। निजी मार्ग किसी अप्रत्याशित पहचान चेतावनी को पार करने का कारण नहीं है।

चेतावनी को बाधा नहीं बल्कि निष्कर्ष मानना उचित है। यदि प्रमाणपत्र उस नाम से मेल नहीं खाता जो आपने इस्तेमाल किया, तो या नाम गलत है या सेवा वह नहीं है जो आप सोचते हैं, और दोनों उत्तर प्रबंधन इंटरफ़ेस पर कहीं और से अधिक मायने रखते हैं। पेज तक उस नाम से पहुँचें जिसके लिए प्रमाणपत्र जारी हुआ था, और DNS को उस नाम को टनल पते की ओर इंगित करने दें। ऐसा निजी नाम जो LAN और टनल के बीच असंगत रूप से हल होता है प्रमाणपत्र शिकायतों का आम कारण है जो VPN खराबी जैसी लगती हैं।

गौण कनेक्शन जाँचें

कुछ सुविधाएँ ऐसे कनेक्शन इस्तेमाल करती हैं जो वेब पेज नहीं करता। कंसोल सत्र, ISO अपलोड, VNC या SPICE प्रॉक्सी और माइग्रेशन चैनल में से हर एक अलग पोर्ट या अलग होस्ट पता इस्तेमाल कर सकता है। जब पेज लोड होता है और एक सुविधा विफल होती है, तो होस्ट पर हर पोर्ट खोलने के बजाय उस उत्पाद की आवश्यकता पढ़ें।

सब कुछ खोलना ही वह तरीका है जिससे प्रबंधन इंटरफ़ेस अप्रबंधित इंटरफ़ेस बन जाता है। हर अतिरिक्त पोर्ट एक और श्रोता है जिसे पैच करके रखना पड़ता है, और हाइपरवाइज़र पहले से ही पर्याप्त खोलता है। वह विशिष्ट कनेक्शन पहचानें जिसकी सुविधा को आवश्यकता है, पुष्टि करें कि वह टनल से पहुँच योग्य है, और बाकी बंद रखें। यदि सुविधा ऐसे होस्ट पते से सीधे कनेक्शन पर ज़ोर देती है जो आपकी टनल से रूट नहीं हो सकता, तो वह जानबूझकर बचने योग्य डिज़ाइन बाधा है, कोई श्रेणी अग्रेषित करने का कारण नहीं।

नेटवर्क छूने से पहले वापसी मार्ग रखें

उस वर्चुअल नेटवर्क को बदलने से पहले जो आपकी अपनी VPN ले जाता है, पुष्टि करें कि आपके पास स्थानीय या स्वतंत्र वापसी मार्ग है।

यह होम लैब में सबसे अधिक मायने रखता है, क्योंकि VPN एंडपॉइंट अक्सर उसी हाइपरवाइज़र पर वर्चुअल मशीन होता है जिस तक आप पहुँचना चाहते हैं। दूर से वर्चुअल स्विच, ब्रिज या फ़ायरवॉल नियम बदलना आपके द्वारा इस्तेमाल किया जा रहा मार्ग हटा सकता है, और सत्र इतनी देर टिक सकता है कि आप उसे होते देख सकें।

LAN से नहीं बल्कि लैब के बाहर से परीक्षण करें, और अनुमतियों के साथ-साथ अस्वीकृतियाँ भी सत्यापित करें। जो नेटवर्क टनल से अप्राप्य रहना चाहिए वह आपके बदलाव के बाद भी अप्राप्य रहना चाहिए, और यह प्रबंधन पेज लोड होने से अलग दावा है। दोनों परिणाम लिखें, क्योंकि दूसरा ही छूट जाता है और लैब बढ़ने पर वही मायने रखता है।

रखने योग्य रिकॉर्ड छोटा है: प्रबंधन पता और सेवा, हर पक्ष को ज़रूरी मार्ग, पहुँच की अनुमति वाली पहचानें, और पुनर्प्राप्ति मार्ग। यह अगले व्यक्ति के लिए काम करने वाली स्थिति को बिना दोबारा निकाले पुनःउत्पादित करने के लिए पर्याप्त है।

अगर इन सब के बाद भी पेज समय समाप्त करता है, तो दूसरा नियम बदलने से पहले हाइपरवाइज़र पर कैप्चर करें और पैकेट खोजें। जो पैकेट कभी नहीं आता वह रूटिंग या फ़ायरवॉल प्रश्न है; जो पैकेट आकर अस्वीकार हो जाता है वह सेवा या नीति प्रश्न है; जो पैकेट आता है और क्लाइंट के प्रतीक्षा करते हुए उत्तर पाता है वह वापसी मार्ग प्रश्न है। strongSwan का अग्रेषण दस्तावेज़ बताता है कि Linux गेटवे टनल ट्रैफ़िक को आंतरिक होस्ट तक कैसे अग्रेषित करता है। तीन कैप्चर एक और अनुमान से बेहतर हैं।