Հյուրի VPN և հոսթի VPN. իսկական հաղթող ուղին

Երկու կլիենտ աշխատում են միաժամանակ, յուրաքանչյուրը համոզված է, որ լռելյայն ուղին իրենն է, և ախտանիշը գալիս է որպես տարօրինակ բան՝ հյուրի մի հավելված աշխատում է, մյուսը լուծվում է սխալ տեղում։ VPN-ը հյուրի ներսում և VPN-ը հոսթի վրա կարող են գոյակցել, բայց միայն այն ժամանակ, երբ արտաքին ուղին և ներքին քաղաքականությունը համաձայն են, թե ով ինչ է տանում։ Երկուսն էլ սկսելը ինքնին շղթա չի ստեղծում։ Սկզբում գրանցեք միացումը, ապա փոխեք մեկ բան միաժամանակ։

Սկզբում գրանցեք հյուրի միացումը

Հյուրը հասնում է իր VPN սերվերին այն ուղով, որը տվել է հիպերվիզորը՝ NAT հոսթի հետևում, կամուրջ դեպի ֆիզիկական սեգմենտ կամ միայն հոսթի համար ցանց՝ վրան ավելացված երթուղավորումով։ Յուրաքանչյուր միացում փոխում է, թե հյուրը ինչ կարող է տեսնել և ինչ կարող է հոսթն անել նրա թրաֆիկի հետ։ NAT-ի տակ հյուրի փաթեթները թվում են, թե գալիս են հոսթից, ուստի հոսթի սեփական թունելը կարող է տանել դրանք առանց, որ հյուրը այդ մասին որևէ բան իմանա։ Կամրջի տակ հյուրն ունի իր ներկայությունը սեգմենտում և իր լռելյայն դարպասը։

Գրանցեք միացումը նախքան որևէ կոնֆիգուրացիայի դիպչելը, նաև այն, թե որ կլիենտը որ հավելվածը պետք է տանի։ Այդ նախադասությունը լուծում է այս դեպքերի մեծ մասը, որովհետև երկու կլիենտները սովորաբար կառուցված են տարբեր ենթադրությունների վրա։ Այն հյուրը, որից սպասվում է հոսթի թունելի օգտագործում, չպետք է ունենա նաև իր մրցակցող լռելյայն ուղին։

Հետևեք հյուրի վերջնակետին դեպի դուրս

Հյուրի VPN-ին պետք է օգտագործելի ուղի դեպի իր սերվերը, նախքան որևէ այլ բան կաշխատի։ Երբ հոսթի թունելը բաց է, և հյուրը նստած է NAT-ի հետևում, հյուրի ձեռքսեղմումը դուրս է գալիս հոսթի թունելով, ինչը կա՛մ նախագիծն է, կա՛մ պատահար, որը ոչ ոք չի փաստաթղթավորել։ Երբ հոսթի թունելն ընկնում է, և հյուրը կախված էր դրանից, հյուրը կորցնում է կապը՝ առանց իր կողմում ոչ մի փոփոխության։ Վերջնակետին դուրս հետևելը ձեզ ասում է, թե այդ երկուսից որն է իրականում ձեզ մոտ։

Լայն ուղին երկու համատեքստերից որևէ մեկում որսում է թրաֆիկ, որը սպասում էր մյուս կլիենտը։ Հյուրի ներսում 0.0.0.0/0 ուղին և լրիվ թունելով հոսթ-կլիենտը երկուսն էլ հավակնում են ամեն ինչին, և հաղթում է նա, որն ամենավերջում է կիրառվում։ Հյուրի վիրտուալ ցանցերի, տեղական LAN-ի և հեռավոր ցանցերի միջև համընկնումները նույն ազդեցությունն են տալիս մասնավոր նախադիրների համար, այնպիսի խափանումներով, որոնք նման են նույնականացման խնդիրների, և հասցեների թարգմանության վարքը նույնն է, ինչ նկարագրված է կոնտեյներային ցանցերի համար։

Համեմատեք առաջ և հետո գրանցումը

Վերցրեք ելակետային գրանցում հոսթի թունելն անջատած, կամ ձեր քաղաքականության թույլ տված ցանկացած վերահսկվող վիճակում, և գրանցեք հյուրի ուղին և լուծիչը։ Ապա կիրառեք համակցված կոնֆիգուրացիան և համեմատեք երկու գրանցումները՝ գաղտնիության պահանջները անձեռնմխելի պահելով։ Եթե ուղղակի ելակետը հարմար չէ, այդ սահմանափակումը գրեք գրանցման մեջ՝ համեմատությունը բաց թողնելու փոխարեն։

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

Ուղու հարցումը նշում է այն ինտերֆեյսը և աղբյուրի հասցեն, որոնք կտանեն կոնկրետ նպատակակետ, և դա այս հետաքննության ամենաօգտակար տողն է։ Կանոնների ցանկը ցույց է տալիս, թե արդյոք քաղաքականության երթուղավորումը որոշ նպատակակետեր ուղարկում է երկրորդ աղյուսակով։ Լուծիչի ելքը ցույց է տալիս, թե արդյոք DNS-ը հետևել է հյուրի թունելին կամ մնացել հոսթի ուղու վրա։ Գործարկեք նույն երեք հրամանները փոփոխությունից առաջ և հետո, և տարբերությունը կնշի մեղավորին։

Պահեք սեփականությունը հստակ վերագործարկումների ընթացքում

Հոսթ-կլիենտի տեղական հասանելիության սահմանափակումը կարող է արգելափակել թրաֆիկը դեպի վիրտուալ NAT կամ կամուրջ, և այդ սահմանափակումը հաճախ շփոթում են հյուրի հավատարմագրերի խնդրի հետ։ Կարդացեք կլիենտի փաստաթղթավորված վարքը՝ սահմանափակումն անջատելու փոխարեն, որպեսզի թեստը անցնի։ Աջակցվող ուղղումից հետո նորից փորձեք հյուրի հավելվածը և ձեր պահանջած խափանման քաղաքականությունը։ Հաջողությամբ վերամիացող հոսթը ոչինչ չի ապացուցում հյուրի ուղու կամ լուծիչի մասին։

Որոշեք, թե որ կողմն է տիրում լռելյայն ուղուն, և դա գրեք գործառնական ուղեցույցում։ Հյուրի վերագործարկումը կամ հոսթի ցանցի փոխարկումը, որը լուռ շրջում է սեփականությունը, ստեղծում է սխալի հաշվետվություն մի VPN-ի մասին, որը երբեք մեղավոր չի եղել։ Կարգավորումը պետք է դիմանա վերագործարկմանը՝ առանց որևէ մեկի հիշելու, թե ինչու էր այն աշխատում։