სტუმრის VPN და ჰოსტის VPN: რომელი მარშრუტი იმარჯვებს სინამდვილეში

ორი კლიენტი ერთდროულად მუშაობს, თითოეული დარწმუნებულია, რომ ნაგულისხმევი მარშრუტი მას ეკუთვნის, და სიმპტომი რაღაც უცნაურის სახით ჩნდება: სტუმრის ერთი აპლიკაცია მუშაობს, მეორე არასწორ ადგილზე წყდება. VPN სტუმრის შიგნით და VPN ჰოსტზე შეიძლება ერთად არსებობდეს, მაგრამ მხოლოდ მაშინ, როცა გარე გზა და შიდა პოლიტიკა თანხმდებიან, ვინ რას ატარებს. ორივეს გაშვება თავისთავად ჯაჭვს არ ქმნის. ჯერ ჩაწერეთ მიერთება, შემდეგ შეცვალეთ ერთი რამ ერთდროულად.

ჯერ ჩაწერეთ სტუმრის მიერთება

სტუმარი თავის VPN სერვერს აღწევს იმ გზით, რომელიც ჰიპერვიზორმა მისცა: NAT ჰოსტის უკან, ხიდი ფიზიკურ სეგმენტზე ან მხოლოდ ჰოსტის ქსელი, რომელზეც მარშრუტიზაციაა დამატებული. ყოველი მიერთება ცვლის, რას ხედავს სტუმარი და რა შეუძლია ჰოსტს მისი ტრაფიკით გააკეთოს. NAT-ის ქვეშ სტუმრის პაკეტები თითქოს ჰოსტიდან მოდიან, ამიტომ ჰოსტის საკუთარ გვირაბს შეუძლია მათი ტარება ისე, რომ სტუმარმა ამის შესახებ არაფერი იცოდეს. ხიდის ქვეშ სტუმარს აქვს საკუთარი ყოფნა სეგმენტზე და საკუთარი ნაგულისხმევი კარიბჭე.

ჩაწერეთ მიერთება სანამ რომელიმე კონფიგურაციას შეეხებით, იმასთან ერთად, თუ რომელმა კლიენტმა უნდა ატაროს რომელი აპლიკაცია. ეს წინადადება ამ შემთხვევების უმეტესობას ხსნის, რადგან ორი კლიენტი ჩვეულებრივ სხვადასხვა დაშვებაზეა აგებული. სტუმარს, რომლისგანაც ჰოსტის გვირაბის გამოყენება მოსალოდნელია, არ უნდა ჰქონდეს ასევე საკუთარი კონკურენტი ნაგულისხმევი მარშრუტი.

თვალი ადევნეთ სტუმრის ბოლო წერტილს გარეთ

სტუმრის VPN-ს სჭირდება გამოსაყენებელი გზა საკუთარ სერვერამდე, სანამ რაიმე სხვა იმუშავებს. როცა ჰოსტის გვირაბი აწეულია და სტუმარი NAT-ის უკან ზის, სტუმრის ხელის ჩამორთმევა ჰოსტის გვირაბიდან გადის, რაც ან დიზაინია, ან შემთხვევა, რომელიც არავის დოკუმენტირებული არ აქვს. როცა ჰოსტის გვირაბი ეცემა და სტუმარი მასზე იყო დამოკიდებული, სტუმარი კავშირს კარგავს თავის მხარეს ერთი ცვლილების გარეშე. ბოლო წერტილზე გარეთ თვალის დევნება გეტყვით, ამ ორიდან რომელი გაქვთ სინამდვილეში.

ფართო მარშრუტი ორივე კონტექსტში იჭერს ტრაფიკს, რომელსაც მეორე კლიენტი ელოდა. 0.0.0.0/0 მარშრუტი სტუმრის შიგნით და სრული გვირაბის ჰოსტ-კლიენტი ორივე ყველაფერზე აცხადებს პრეტენზიას და იმარჯვებს ის, რაც ბოლოს გამოიყენება. გადაფარვები სტუმრის ვირტუალურ ქსელებს, ლოკალურ LAN-სა და დისტანციურ ქსელებს შორის იმავე ეფექტს იძლევა კერძო პრეფიქსებისთვის, ისეთი ჩავარდნებით, რომლებიც ავთენტიფიკაციის პრობლემებს ჰგავს; მისამართების თარგმნის ქცევა იგივეა, რაც აღწერილია კონტეინერების ქსელებისთვის.

შეადარეთ ჩანაწერი ცვლილებამდე და შემდეგ

აიღეთ საბაზისო ხაზი ჰოსტის გვირაბით გამორთული, ან ნებისმიერ კონტროლირებად მდგომარეობაში, რომელსაც თქვენი პოლიტიკა იძლევა, და ჩაწერეთ სტუმრის მარშრუტი და გამხსნელი. შემდეგ გამოიყენეთ კომბინირებული კონფიგურაცია და შეადარეთ ორი ჩანაწერი, კონფიდენციალურობის მოთხოვნები ხელუხლებლად შეინარჩუნეთ. თუ პირდაპირი საბაზისო ხაზი მიზანშეწონილი არ არის, ეს შეზღუდვა ჩაწერეთ ჩანაწერში და არ გამოტოვოთ შედარება.

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

მარშრუტის მოთხოვნა ასახელებს ინტერფეისს და წყაროს მისამართს, რომლებიც კონკრეტულ დანიშნულებას გადაიტანდნენ, და ეს ამ გამოძიების ყველაზე სასარგებლო ხაზია. წესების სია გვიჩვენებს, აგზავნის თუ არა პოლიტიკის მარშრუტიზაცია ზოგიერთ დანიშნულებას მეორე ცხრილით. გამხსნელის გამონატანი გვიჩვენებს, გაჰყვა თუ არა DNS სტუმრის გვირაბს ან დარჩა ჰოსტის გზაზე. გაუშვით იგივე სამი ბრძანება ცვლილებამდე და შემდეგ, და სხვაობა დაასახელებს დამნაშავეს.

შეინარჩუნეთ მესაკუთრება ნათლად გადატვირთვებს შორის

ჰოსტ-კლიენტის ლოკალური წვდომის შეზღუდვამ შეიძლება დაბლოკოს ტრაფიკი ვირტუალურ NAT-თან ან ხიდთან, და ეს შეზღუდვა ხშირად სტუმრის სერთიფიკატების პრობლემად აღიქმება. წაიკითხეთ კლიენტის დოკუმენტირებული ქცევა იმის ნაცვლად, რომ შეზღუდვა გამორთოთ ტესტის ჩასაბარებლად. მხარდაჭერილი შესწორების შემდეგ ხელახლა გამოსცადეთ სტუმრის აპლიკაცია და თქვენ მიერ მოთხოვნილი ჩავარდნის პოლიტიკა. ჰოსტი, რომელიც წარმატებით ხელახლა უკავშირდება, სტუმრის მარშრუტის ან გამხსნელის შესახებ არაფერს ამტკიცებს.

გადაწყვიტეთ, რომელი მხარე ფლობს ნაგულისხმევ მარშრუტს, და ეს ჩაწერეთ საოპერაციო სახელმძღვანელოში. სტუმრის გადატვირთვა ან ჰოსტზე ქსელის შეცვლა, რომელიც ჩუმად აბრუნებს მესაკუთრებას, ქმნის ხარვეზის ანგარიშს VPN-ზე, რომელიც არასოდეს ყოფილა დამნაშავე. მოწყობამ უნდა გადაიტანოს გადატვირთვა ისე, რომ არავის გაახსენდეს, რატომ მუშაობდა.