Ինչու է ձեր հյուր VPN-ը ձախողվում VirtualBox NAT-ի հետևում

Զննարկիչը վիրտուալ մեքենայի ներսում աշխատում է, իսկ նույն հյուրի վրա VPN հաճախորդը չի կարող տվյալներ տեղափոխել։ Հյուրն ակնհայտորեն կապ ունի, ուրեմն խափանումը այն բանում է, ինչ պահանջում է VPN-ի արտաքին արձանագրությունը և ինչ կբաց թողնի վիրտուալ NAT-ը։ Ելքը որոշում են երեք պայման՝ որ գործընթացն է տիրապետում VPN-ին, ինչպիսին է արտաքին փոխանակումը լարի վրա, և արդյոք ադապտերի ռեժիմը այն է, ինչ դուք կարծում եք։ Այն պայմանը անվանելը, որը կարող եք փոխել, ամբողջ որոշումն է։

Գտեք VPN-ի գործընթացը, նախքան ցանցին մեղադրելը

Նախ որոշեք՝ VPN-ն աշխատում է հյուրի ներսում, թե հոսթի վրա, որովհետև երկու դասավորությունները տարբեր կերպ են ձախողվում։ Հյուրի ներսում հաճախորդը կառուցում է իր արտաքին կապը հյուրի ադապտերի և դրա հետևում գտնվող ցանկացած թարգմանության միջոցով։ Հոսթի VPN-ը որսում է հյուրի երթևեկությունը հոսթի և հիպերվիզորի քաղաքականության համաձայն, ինչը առանձին որսման կետ է՝ իր կանոններով։ Նրանք կարող են աշխատել միաժամանակ և շփոթել ապացույցները, ուստի նշեք, թե որն պետք է տեղափոխի այս երթևեկությունը, նախքան որևէ մեկին դիպչելը։

Արձանագրեք հյուրի ադապտերի ռեժիմը հիմա, նախքան որևէ բան փոխելը։ Այդ մեկ արժեքը բացատրում է հետևյալի մեծ մասը, և դա առաջին բանն է, որ ինչ-որ մեկը ձեզ հետո կհարցնի։

Արտաքին փոխանակությունը որոշում է համատեղելիությունը

VirtualBox-ի ցանցային ուղեցույցը թվարկում է NAT-ի սահմանափակումները, որոնք այստեղ նշանակություն ունեն՝ այն չի բաց թողնի TCP-ից և UDP-ից բացի այլ արձանագրություններ, GRE-ն նշված է որպես չաջակցվող, և PPTP-ն բերված է որպես տուժած օրինակ։ PPTP-ն օգտագործում է TCP կառավարման փոխանակում և GRE՝ տվյալների համար, ուստի կառավարման կապը կարող է հաջողվել, մինչ տվյալների ուղին չի կարող անցնել նույն սահմանը։ Դրանք երկու տարբեր ապացույցներ են, և դրանցից միայն մեկն է երթևեկությունը տեղափոխելու մասին։ Թույլատրել TCP պորտ 47-ը հրդեպատի կանոնում նույնը չէ, ինչ թույլատրել IP արձանագրություն 47-ը, և այդ երկուսն անընդհատ շփոթում են։

Սահմանափակումը կապեք այս NAT դասավորության հետ, ոչ թե NAT բառն օգտագործող յուրաքանչյուր սարքի։ Ֆիզիկական երթուղիչը կարող է առանց բողոքի բաց թողնել GRE-ն, մինչ վիրտուալ NAT-ը գցում է այն, և մեկ այլ հիպերվիզոր ինքն է ընտրում՝ ինչ փոխանցել։ Երբ կազմակերպությունն առաջարկում է հաստատված տրանսպորտ TCP-ի կամ UDP-ի ներսում, օգտվեք նրա աջակցվող հաճախորդից և պրոֆիլից այդ ուղու համար։ Համատեղելիությունը մի քանի պահանջներից մեկն է, և այն չի հաստատում ոչ սերվերի վստահություն, ոչ հաշվի թույլտվություն, ոչ աշխատող մասնավոր ուղիներ։

Ինչ է իրականում փոխում կամուրջը

Կամուրջը հյուրի MAC հասցեն հանձնում է ֆիզիկական սեգմենտին՝ թարգմանության հետևում թաքցնելու փոխարեն։ Այնուհետև հյուրը հասցե է վերցնում այդ սեգմենտը սպասարկող ցանկացած DHCP սերվերից, պատասխանում է ARP-ով այդ հասցեի համար և վերին անջատիչի համար հայտնվում է որպես ևս մեկ պորտ։ Դա հեռացնում է վիրտուալ թարգմանության ուղին, ինչը հենց այն պատճառն է, որ հին բաղադրատոմսը խորհուրդ է տալիս այն, և միաժամանակ փոխում է ևս երեք բան։ Հասցեավորումն այժմ գալիս է տեղական սեգմենտից, ոչ թե հիպերվիզորից, բացահայտումը նշանակում է, որ հյուրը տեսանելի է այդ սեգմենտին, և ընդունումը կախված է անջատիչի պորտից և դրա քաղաքականությունից։ Դրանցից յուրաքանչյուրը կարող է փոփոխությունը մերժելու պատճառ լինել, և ոչ մեկը VPN արձանագրության մասին չէ։

Կամրջումը չի տեղադրում բացակայող պլագին, չի տրամադրում անհասանելի գաղտնի գործակալ և չի վերացնում նույնականացման մերժումը։ Այն նաև հնացած արձանագրությունը լավ ընտրություն չի դարձնում, և որտեղ օպերատորն ունի պահպանվող փոխարինող, որոշումը հենց այն է, ոչ թե հիպերվիզորի փոփոխությունը։ Պորտի փոխանցումը բոլորովին երրորդ դեր է՝ այն հրապարակում է ներմուծվող ծառայություն և ոչինչ չի անում արտահանվող հաճախորդի արտաքին արձանագրության համար։

Երկու թունել, երկու ապացույցի ուղի

Հյուր VPN-ին պետք է օգտագործելի ուղի հյուրի ինտերֆեյսից մինչև իր զուգակիցը, նախքան որևէ ներքին հասցե կամ մասնավոր ուղի նշանակություն կունենա։ Երբ հոսթի VPN կա, այն կարող է փոխանցել կամ արգելափակել այդ արտաքին փոխանակումը իր քաղաքականությամբ, և հյուրի ներքին թունելը սկսվում է միայն արտաքինի հաջողությունից հետո։ Ոչ մի շերտի ծածկույթ չի կարելի կարդալ մեկ միացված պատկերակից կամ հոսթի զննարկիչի հանրային հասցեից։

Պահեք առաջին սխալի հաղորդագրությունը, ոչ վերջինը, որովհետև ամենավաղ խափանումը նշում է շերտը։ Փոխեք մեկ աջակցվող ցանցային դասավորություն միաժամանակ, նույն հյուրի պրոֆիլով և նույն հավատարմագրերով, որպեսզի համեմատությունը իմաստ ունենա։ Խափանումից որոշեք, թե որ փուլն է կոտրվել՝ տեղական ինտեգրում, տրանսպորտ, նույնականացում կամ ռեսուրսների հասանելիություն թունելը բարձրանալուց հետո։ Դրանցից յուրաքանչյուրն ունի տարբեր սեփականատեր, և միայն մեկն է հիպերվիզորի հարց։

Որ պայմանն է իրականում արգելափակում ձեզ

Այժմ որոշումը նեղանում է երեք հարցի՝ տարբեր պատասխաններով։ Եթե արտաքին արձանագրությունը TCP-ից և UDP-ից դուրս է, NAT-ի ռեժիմն է սահմանափակումը, և առաջ շարժվելու ուղին կամուրջն է կամ հաստատված TCP/UDP տրանսպորտը։ Եթե արտաքին փոխանակումը ավարտվում է, իսկ տվյալների ուղին՝ ոչ, սահմանափակումը նույնն է, ինչ երկրորդ ապացույցում։ Եթե թունելը բարձրանում է, իսկ ռեսուրսները չեն պատասխանում, խնդիրն արդեն անցել է հիպերվիզորից երթուղավորում կամ քաղաքականություն։

Գրեք պատասխանը ադապտերի ռեժիմի կողքին, այլապես հաջորդ մարդը կկրկնի նույն կեսօրը։ Ցանկացած ուղղումից հետո փորձարկեք փաստացի հավելվածը և անվան լուծումը հյուրի ներսում, ապա նորից միացեք և փորձեք խափանման քաղաքականությունը։ Թունելով աշխատող վեբ էջը միայն ապացուցում է, որ վեբ ուղին աշխատում է, ինչն ավելի փոքր պնդում է, քան թվում է այդ պահին։