Hipervisor lab rumah tidak dapat dijangkau lewat VPN: ke mana harus melihat

Tunnel menyala, halaman web hipervisor habis waktu, dan klien mengatakan sudah terhubung. Kombinasi itu menyingkirkan banyak hal: handshake VPN bekerja, klien punya alamat, dan titik akhir dapat dijangkau. Yang tersisa adalah daftar singkat pertanyaan perutean dan kebijakan, dan ada urutan alaminya. Kerjakan dari hipervisor ke luar, bukan dari klien ke dalam, karena status hipervisor sendiri adalah hal yang paling murah untuk dipastikan.

Mulai dari segmen manajemen

Pastikan alamat manajemen hipervisor dan layanan yang mendengarkan di atasnya, dan pastikan halaman termuat dari host lain di segmen itu sebelum Anda mendiagnosis apa pun dari jarak jauh. Uji lokal yang gagal bukan masalah VPN, dan itu pemeriksaan lima menit yang menghemat satu jam.

Lalu dua jalur. Klien VPN membutuhkan rute ke jaringan manajemen, yang biasanya berarti AllowedIPs klien atau rute yang didorong mencakup subnet itu. Hipervisor, atau gateway bawaannya, membutuhkan jalur balik ke kumpulan alamat klien, kecuali desainnya sengaja menerjemahkan sumber di pintu masuk. Itu dua fakta terpisah dan hilangnya salah satunya menghasilkan waktu habis yang sama. Periksa keduanya secara terpisah: ip route get 192.168.10.20 di klien, dan tangkapan di host hipervisor yang menunjukkan apakah paket itu tiba sama sekali.

Izinkan administrator jarak jauh yang sebenarnya

Otorisasi adalah pertanyaan terpisah dari keterjangkauan. Gunakan kebijakan gateway dan host yang terbatas pada sumber dan layanan yang membutuhkan akses manajemen. Akun VPN tamu yang membutuhkan satu aplikasi lab tidak boleh dengan demikian mencapai bidang manajemen, dan aturan datar yang mengizinkan seluruh subnet tunnel adalah cara itu terjadi.

Biarkan autentikasi hipervisor sendiri dan pemeriksaan sertifikat tetap aktif. Rute pribadi bukan alasan untuk mengklik melewati peringatan identitas yang tidak terduga.

Peringatan itu layak diperlakukan sebagai temuan, bukan hambatan. Jika sertifikat tidak cocok dengan nama yang Anda gunakan, entah namanya salah atau layanannya bukan yang Anda pikirkan, dan kedua jawaban itu lebih penting di antarmuka manajemen daripada di tempat lain. Capai halaman dengan nama yang menjadi dasar penerbitan sertifikat, dan biarkan DNS mengarahkan nama itu ke alamat tunnel. Nama pribadi yang diselesaikan secara tidak konsisten antara LAN dan tunnel adalah penyebab umum keluhan sertifikat yang tampak seperti gangguan VPN.

Periksa koneksi sekunder

Beberapa fitur memakai koneksi yang tidak dipakai halaman web. Sesi konsol, unggahan ISO, proksi VNC atau SPICE, dan kanal migrasi masing-masing dapat memakai port berbeda atau alamat host berbeda. Saat halaman termuat dan satu fitur gagal, bacalah persyaratan produk itu alih-alih membuka setiap port di host.

Membuka semuanya adalah cara antarmuka manajemen menjadi antarmuka yang tidak terkelola. Setiap port tambahan adalah pendengar lain yang harus ditambal, dan hipervisor sudah mengekspos cukup banyak. Identifikasi koneksi spesifik yang dibutuhkan fitur itu, pastikan dapat dijangkau melalui tunnel, dan biarkan sisanya tertutup. Jika fitur itu bersikeras pada koneksi langsung ke alamat host yang tidak dapat dirutekan melalui tunnel Anda, itu kendala desain yang harus diatasi dengan sengaja, bukan alasan untuk meneruskan rentang.

Pertahankan jalan pulang sebelum menyentuh jaringan

Sebelum mengubah jaringan virtual yang membawa VPN Anda sendiri, pastikan Anda punya jalan pulang lokal atau independen.

Ini paling penting di lab rumah, karena titik akhir VPN sering berupa mesin virtual di hipervisor yang justru ingin Anda capai. Mengubah sakelar virtual, jembatan, atau aturan firewall dari jarak jauh dapat menghapus jalur yang Anda pakai, dan sesi mungkin bertahan cukup lama untuk melihatnya terjadi.

Uji dari luar lab, bukan dari LAN, dan verifikasi penolakan sebagaimana izin. Jaringan yang seharusnya tetap tidak terjangkau dari tunnel harus tetap demikian setelah perubahan Anda, dan itu pernyataan terpisah dari termuatnya halaman manajemen. Catat kedua hasil, karena yang kedua itulah yang terlewat dan yang penting saat lab tumbuh.

Catatan yang perlu disimpan singkat: alamat dan layanan manajemen, rute yang dibutuhkan tiap sisi, identitas yang diizinkan mencapainya, dan jalur pemulihan. Itu cukup bagi orang berikutnya untuk mereproduksi keadaan yang berfungsi tanpa menurunkannya lagi.

Jika halaman masih habis waktu setelah semua itu, tangkap di hipervisor dan cari paketnya sebelum mengubah aturan lain. Paket yang tidak pernah tiba adalah pertanyaan perutean atau firewall; paket yang tiba dan ditolak adalah pertanyaan layanan atau kebijakan; paket yang tiba dan dijawab sementara klien menunggu adalah pertanyaan jalur balik. Dokumentasi penerusan strongSwan menjelaskan bagaimana gateway Linux meneruskan lalu lintas tunnel ke host internal. Tiga tangkapan mengalahkan satu dugaan lagi.