Használ-e a Hyper-V virtuális gép a gazdagép VPN-jét? A kapcsolótól függ

Telepítsen VPN-klienst a Hyper-V gazdagépre, nyisson ott böngészőt, és a kilépési cím megváltozik; nyissa meg ugyanazt az oldalt a virtuális gépen belül, és az esetleg a régi címet mutatja, vagy semmit. A szokásos következtetés, hogy a virtuális gép elromlott, vagy be kell kapcsolni a megosztott alagutazást. Egyik sem következik. A VPN-kliens nem a gép tulajdonsága; útvonalak halmaza, virtuális adapter és gyakran adott interfészekhez kötött szűrő. Hogy a vendégforgalom valaha találkozik-e ezzel a gépezettel, a vendég által használt virtuális kapcsolótól függ.

A mítosz, egyszerűen

A hit szerint a gazdagépre telepített VPN az egész gépet védi, a virtuális gépeket is, mert a virtuális gép csak egy folyamat azon a gépen. Kényelmes hit ez, mert a vírusirtó és a gazdagép tűzfalai általában így viselkednek. A hálózati útvonalak nem.

Egy vendég keretét csak akkor érinti a gazdagép VPN-vereme, ha a gazdagép irányítja vagy szűri. Másolja ezt a mondatot egy öntapadós cetlire, mert az alábbi minden eset ennek változata.

Három kapcsolótípus, három útvonal

Egy külső kapcsoló virtuális adaptert köt egy fizikai hálókártyához, és a vendég a saját MAC-címével küld kereteket ezen a kötésen keresztül. A vendég egyenrangú féllé válik a fizikai hálózaton, saját DHCP-bérlettel, átjáróval és DNS-kiszolgálókkal. A gazdagép VPN-alapértelmezett útvonala a gazdagép vermében él, és nem mozgatja ezeket a kereteket, mert azokat hidalják, nem pedig a gazdagépen át irányítják. Ezért is rossz ötlet egy külső kapcsoló Wi-Fi-adapter fölött: a legtöbb vezeték nélküli illesztőprogram nem szállít kereteket egy második MAC-címhez.

Egy belső kapcsoló a vendégeket a gazdagép virtuális adapteréhez köti. Önmagában nincs internetkijárata; a gazdagépen egy NAT-objektum végzi a fordítás, ahogy a Hyper-V NAT-útmutatóban le van írva. Most a vendég csomagjai valóban bekerülnek a gazdagép útvonalválasztásába és NAT-útvonalába, így a VPN-kliens útvonalai és szűrői újra számítanak. Ez az az elrendezés, amelyben a virtuális gép valóban követi a gazdagép VPN-jét, és amelyben egy kill switch teljesen levághatja a vendéget.

Egy privát kapcsolónak nincs gazdagép-adaptere és nincs felfelé irányuló kapcsolata. A vendégek egymással beszélnek és semmi mással, ezért ha egy privát kapcsolón lévő virtuális gépnek nincs internete, a hiányzó útválasztó az ok, és a VPN lényegtelen.

Az alapértelmezett kapcsoló külön elrendezés

A Windows egy alapértelmezett kapcsolót ad, amely belső kapcsolót kombinál NAT-tal és DNS-proxyval. Az alhálózatát a gazdagép választja, újraindítás után megváltozhat, és nem ugyanaz az objektum, mint a saját maga által létrehozott NAT-hálózat. Ha laboratóriumi hálózatként építi újra, azzal az emberek két NAT-hoz és továbbra is útvonal nélküli vendéghez jutnak.

Ha a virtuális gép az alapértelmezett kapcsolón van, olvassa le a vendég által kapott címet, és hasonlítsa össze a gazdagép NAT-táblájával, mielőtt a VPN-klienshez nyúl. A vendég átjárója és a NAT-előtag közötti eltérés több hibát magyaráz, mint bármely kliensbeállítás.

Négy tény, amely eldönti a kérdést

Gyűjtse össze ezeket, mielőtt bármit megváltoztat: a kapcsoló típusát és felfelé kapcsolatát, a virtuális géphez csatolt adaptert, a vendég saját címét, átjáróját és DNS-ét, valamint a gazdagép NAT- és alapértelmezett útvonal állapotát. A csak olvasó parancsok: Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat, és Get-NetRoute -DestinationPrefix 0.0.0.0/0; a vendégen belül pedig ipconfig /all adja a többit.

Ezután döntse el, mit kell tennie a vendégnek. Ha a VPN-en kívül kell maradnia, szerezze be a szolgáltató által támogatott kivételt pontosan arra az útvonalra, mert a gazdagép futtatható fájljának kizárása nem mentesíti a továbbított virtuális gép forgalmát. Ha a VPN-t kell használnia, erősítse meg a kliens dokumentált virtuálisgép-forgalom kezelését ahelyett, hogy feltételezné, a gazdagép böngészőjében végzett teszt ezt lefedi.

A vendégen belüli teszt az egyetlen bizonyíték, amely számít. Ellenőrizze a kilépési címet a vendégből, oldjon fel egy belső nevet, csatlakozzon újra a VPN-hez, és ismételje meg. A gazdagép böngészőjének eredménye semmit sem helyettesít ebből.

Mennyibe kerül a mítosz

Az emberek kikapcsolják a kill switch-et, statikus útvonalakat adnak hozzá, vagy törlik és újra létrehozzák a kapcsolókat csak hogy egy teszt átmenjen. Minden rövidítés megváltoztatja a hiba módját: a vendég olyan útvonalon érheti el az internetet, amelyet senki sem szánt, vagy a gazdagép elveszítheti a kapcsolatot, amikor egy külső kapcsoló újra köti a fizikai kártyáját.

Egy külső kapcsoló újrakötése megszakítja a gazdagép saját hozzáférését, ezért tartson nyitva egy sávon kívüli útvonalat, és kerülje a kapcsolók törlését, amíg még diagnosztizál. A helyes eredmény a vendég szándékolt útvonala, beleértve, hogyan kapcsolódik újra és hogyan hibázik, nem egy oldalbetöltés zöld pipája.

A tartós válasz egy sor virtuális gépenként a leltárban: melyik kapcsolót használja, és melyik összetevő adja az átjáróját. Ha ez le van írva, a következő VPN-változás egy keresés, nem egy délutányi találgatás.