Apakah mesin virtual Hyper-V memakai VPN host? Tergantung sakelarnya

Pasang klien VPN di host Hyper-V, buka peramban di sana, dan alamat keluar berubah; buka halaman yang sama di dalam mesin virtual dan ia mungkin menampilkan alamat lama, atau tidak sama sekali. Kesimpulan biasanya adalah mesin virtual rusak, atau tunneling terpisah harus diaktifkan. Keduanya tidak berlaku. Klien VPN bukan properti mesin; ia adalah kumpulan rute, adaptor virtual, dan sering filter yang terpasang pada antarmuka tertentu. Apakah lalu lintas tamu pernah bertemu mesin itu bergantung pada sakelar virtual yang dipakai tamu.

Mitos, dinyatakan lugas

Keyakinannya adalah VPN yang dipasang di host melindungi seluruh mesin, termasuk mesin virtual, karena mesin virtual hanyalah proses yang berjalan di mesin itu. Ini keyakinan yang nyaman, sebab antivirus dan firewall host biasanya berperilaku begitu. Jalur jaringan tidak.

Frame tamu hanya disentuh tumpukan VPN host jika host merutekan atau memfilternya. Salin kalimat itu ke catatan tempel, karena setiap kasus di bawah adalah variasinya.

Tiga jenis sakelar, tiga jalur

Sakelar eksternal mengikat adaptor virtual ke kartu jaringan fisik, dan tamu mengirim frame melalui ikatan itu dengan alamat MAC-nya sendiri. Tamu menjadi rekan di jaringan fisik, dengan sewa DHCP, gateway, dan server DNS sendiri. Rute bawaan VPN host hidup di tumpukan host dan tidak memindahkan frame itu, karena frame dijembatani, bukan dirutekan lewat host. Itu juga sebabnya sakelar eksternal di atas adaptor Wi-Fi adalah ide buruk: sebagian besar pengandar nirkabel tidak membawa frame untuk alamat MAC kedua.

Sakelar internal menghubungkan tamu ke adaptor virtual host. Sendirian ia tidak memberi jalan keluar internet; objek NAT di host menyediakan terjemahan, seperti dijelaskan dalam panduan NAT Hyper-V. Kini paket tamu benar-benar masuk ke perutean dan jalur NAT host, jadi rute dan filter klien VPN kembali penting. Inilah susunan ketika mesin virtual benar-benar mengikuti VPN host, dan ketika kill switch dapat memutus tamu sepenuhnya.

Sakelar privat tidak punya adaptor host dan tidak punya uplink. Tamu berbicara satu sama lain dan tidak dengan apa pun, jadi jika mesin virtual di sakelar privat tidak punya internet, router yang hilang adalah penyebabnya dan VPN tidak relevan.

Sakelar Bawaan adalah susunan tersendiri

Windows menyertakan sakelar bawaan yang menggabungkan sakelar internal dengan NAT dan proksi DNS. Subnetnya dipilih host, dapat berubah setelah mulai ulang, dan bukan objek yang sama dengan jaringan NAT yang Anda buat sendiri. Membangunnya ulang seolah jaringan laboratorium adalah cara orang berakhir dengan dua NAT dan tamu yang tetap tanpa rute.

Jika mesin virtual berada di sakelar bawaan, baca alamat yang diterima tamu dan bandingkan dengan tabel NAT host sebelum menyentuh klien VPN. Ketidakcocokan antara gateway tamu dan prefiks NAT menjelaskan lebih banyak kegagalan daripada pengaturan klien mana pun.

Empat fakta yang menyelesaikan pertanyaan

Kumpulkan ini sebelum mengubah apa pun: jenis sakelar dan uplink-nya, adaptor yang terpasang ke mesin virtual, alamat, gateway, dan DNS tamu itu sendiri, serta keadaan NAT dan rute bawaan host. Perintah hanya-baca adalah Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat, dan Get-NetRoute -DestinationPrefix 0.0.0.0/0; dan di dalam tamu ipconfig /all memberi sisanya.

Lalu putuskan apa yang seharusnya dilakukan tamu. Jika ia harus tetap di luar VPN, dapatkan pengecualian yang didukung penyedia untuk jalur persis itu, karena mengecualikan berkas yang dapat dieksekusi di host tidak membebaskan lalu lintas mesin virtual yang diteruskan. Jika ia harus memakai VPN, pastikan penanganan lalu lintas mesin virtual oleh klien sesuai dokumentasi, bukan menganggap uji di peramban host mencakupnya.

Uji di dalam tamu adalah satu-satunya bukti yang berlaku. Periksa alamat keluar dari tamu, selesaikan nama internal, sambungkan ulang VPN, dan ulangi. Hasil peramban host bukan pengganti untuk semua itu.

Berapa biaya mitos itu

Orang mematikan kill switch, menambah rute statis, atau menghapus dan membuat ulang sakelar hanya agar sebuah uji lolos. Setiap jalan pintas mengubah mode kegagalan: tamu mungkin mencapai internet lewat jalur yang tak dimaksudkan siapa pun, atau host mungkin kehilangan konektivitas saat sakelar eksternal mengikat ulang kartu fisiknya.

Mengikat ulang sakelar eksternal memutus akses host sendiri, jadi biarkan jalur luar-band tetap terbuka dan hindari menghapus sakelar saat Anda masih mendiagnosis. Hasil yang benar adalah jalur tamu yang dimaksud, termasuk bagaimana ia menyambung ulang dan bagaimana ia gagal, bukan tanda centang hijau dari satu pemuatan halaman.

Jawaban yang tahan lama adalah satu baris per mesin virtual di inventaris: sakelar mana yang dipakai dan komponen mana yang memasok gateway-nya. Dengan itu tertulis, perubahan VPN berikutnya adalah pencarian, bukan seharian menduga.