Koristi li Hyper-V virtualna mašina VPN hosta? Zavisi od prekidača

Instalirajte VPN klijent na Hyper-V hostu, otvorite tamo preglednik i izlazna adresa se mijenja; otvorite istu stranicu unutar virtualne mašine i ona može pokazati staru adresu ili nijednu. Uobičajen zaključak je da je virtualna mašina pokvarena ili da se mora uključiti podijeljeni tunel. Ni jedno ne slijedi. VPN klijent nije svojstvo mašine; to je skup ruta, virtualni adapter i često filter vezan za određene interfejse. A hoće li gostujući saobraćaj ikad sresti taj mehanizam, zavisi od virtualnog prekidača koji gost koristi.

Mit, jednostavno rečeno

Uvjerenje je da VPN instaliran na hostu štiti cijelu mašinu, uključujući virtualne mašine, jer je virtualna mašina samo proces koji radi na toj mašini. To je udobno uvjerenje, jer antivirus i hostovi firewalli obično tako rade. Mrežni putevi ne.

Okvir gosta dodiruje VPN stog hosta samo ako ga host usmjerava ili filtrira. Prepišite tu rečenicu na samoljepljivi papirić, jer je svaki slučaj ispod varijacija na nju.

Tri tipa prekidača, tri puta

Vanjski prekidač veže virtualni adapter za fizičku mrežnu karticu, a gost šalje okvire kroz tu vezu sa vlastitom MAC adresom. Gost postaje ravnopravan na fizičkoj mreži, sa vlastitim DHCP najmom, gatewayem i DNS serverima. VPN zadana ruta hosta živi u stogu hosta i ne pomjera te okvire, jer se oni premošćuju, a ne usmjeravaju kroz host. Zato je i vanjski prekidač preko Wi-Fi adaptera loša ideja: većina bežičnih drajvera ne prenosi okvire za drugu MAC adresu.

Unutrašnji prekidač povezuje goste s virtualnim adapterom hosta. Sam po sebi ne daje izlaz na internet; NAT objekat na hostu obavlja prevođenje, kao što je opisano u Hyper-V vodiču za NAT. Sada paketi gosta zaista ulaze u usmjeravanje i NAT put hosta, pa rute i filteri VPN klijenta ponovo postaju važni. To je raspored u kojem virtualna mašina zaista slijedi VPN hosta i u kojem kill switch može potpuno odsjeći gosta.

Privatni prekidač nema adapter hosta i nema uzvodnu vezu. Gosti razgovaraju jedni s drugima i ni s kim drugim, pa ako virtualna mašina na privatnom prekidaču nema internet, nedostajući ruter je uzrok, a VPN je nevažan.

Zadani prekidač je zaseban raspored

Windows isporučuje zadani prekidač koji kombinuje unutrašnji prekidač s NAT-om i DNS proxyjem. Njegovu podmrežu bira host, može se promijeniti nakon ponovnog pokretanja i nije isti objekat kao NAT mreža koju sami napravite. Ponovna izgradnja kao da je laboratorijska mreža jeste način na koji ljudi završe s dva NAT-a i gostom koji još nema rutu.

Ako virtualna mašina sjedi na zadanom prekidaču, pročitajte adresu koju je gost dobio i uporedite je s NAT tabelom hosta prije nego što dirate VPN klijent. Nesklad između gostovog gatewaya i NAT prefiksa objašnjava više kvarova od bilo koje postavke klijenta.

Četiri činjenice koje rješavaju pitanje

Prije nego što bilo šta promijenite, prikupite ovo: tip prekidača i njegovu uzvodnu vezu, adapter priključen na virtualnu mašinu, gostovu vlastitu adresu, gateway i DNS, te stanje NAT-a i zadane rute na hostu. Komande samo za čitanje su Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat, i Get-NetRoute -DestinationPrefix 0.0.0.0/0; a unutar gosta ipconfig /all daje ostalo.

Zatim odlučite šta gost treba da radi. Ako treba da ostane izvan VPN-a, pribavite provajderovo podržano izuzeće za tačno taj put, jer izuzimanje izvršne datoteke hosta ne oslobađa proslijeđeni saobraćaj virtualne mašine. Ako treba da koristi VPN, potvrdite kako klijent prema dokumentaciji obrađuje saobraćaj virtualnih mašina, umjesto da pretpostavite da test u pregledniku hosta to pokriva.

Test unutar gosta jedini je dokaz koji se računa. Provjerite izlaznu adresu iz gosta, razriješite interno ime, ponovo povežite VPN i ponovite. Rezultat u pregledniku hosta nije zamjena ni za šta od toga.

Šta mit košta

Ljudi isključuju kill switch, dodaju statičke rute ili brišu i iznova prave prekidače samo da bi test prošao. Svaki prečac mijenja način kvara: gost može doći na internet putem koji niko nije namjeravao, ili host može izgubiti vezu kada vanjski prekidač ponovo veže svoj fizički adapter.

Ponovno vezivanje vanjskog prekidača prekida vlastiti pristup hosta, zato držite otvoren vanpojasni put i izbjegavajte brisanje prekidača dok još dijagnostikujete. Ispravan ishod je namjeravani put gosta, uključujući kako se ponovo povezuje i kako pada, a ne zelena kvačica s jednog učitavanja stranice.

Trajan odgovor je jedan red po virtualnoj mašini u inventaru: koji prekidač koristi i koja komponenta daje njen gateway. Kad je to zapisano, sljedeća promjena VPN-a je pogled u zapis, a ne popodne nagađanja.