სახლის ლაბორატორიის ჰიპერვიზორი VPN-ით მიუწვდომელია: სად ვეძებოთ

გვირაბი ამოდის, ჰიპერვიზორის ვებგვერდი დროის ლიმიტს აღწევს და კლიენტი ამბობს, რომ დაკავშირებულია. ეს კომბინაცია გასაოცრად ბევრს გამორიცხავს: VPN-ის ხელის ჩამორთმევა მუშაობს, კლიენტს აქვს მისამართი და საბოლოო წერტილი მისაწვდომია. რაც რჩება, არის მარშრუტიზაციისა და პოლიტიკის კითხვების მოკლე სია და მათ ბუნებრივი რიგი აქვთ. დაამუშავეთ ისინი ჰიპერვიზორიდან გარეთ და არა კლიენტიდან შიგნით, რადგან თავად ჰიპერვიზორის მდგომარეობა ყველაზე იაფია დასადასტურებლად.

დაიწყეთ მართვის სეგმენტით

დაადასტურეთ ჰიპერვიზორის მართვის მისამართი და მასზე მომსახურე სერვისი, და დაადასტურეთ, რომ გვერდი იტვირთება იმავე სეგმენტის სხვა ჰოსტიდან, სანამ რაიმეს დისტანციურად დიაგნოსტირებას დაიწყებთ. ლოკალური ტესტი, რომელიც ვერ გადის, VPN-ის პრობლემა არ არის და ეს ხუთწუთიანი შემოწმებაა, რომელიც ერთ საათს ზოგავს.

შემდეგ ორი გზა. VPN კლიენტს სჭირდება მარშრუტი მართვის ქსელამდე, რაც ჩვეულებრივ ნიშნავს, რომ კლიენტის AllowedIPs ან გაშვებული მარშრუტები მოიცავს ამ ქვექსელს. ჰიპერვიზორს ან მის ნაგულისხმევ კარიბჭეს სჭირდება დაბრუნების გზა კლიენტების მისამართების აუზამდე, თუ დიზაინი განზრახ არ თარგმნის წყაროს შესვლისას. ეს ორი ცალკე ფაქტია და რომელიმეს არქონა იმავე დროის ლიმიტს იძლევა. შეამოწმეთ ცალ-ცალკე: ip route get 192.168.10.20 კლიენტზე და ჩაწერა ჰიპერვიზორის ჰოსტზე, რომელიც აჩვენებს, საერთოდ მივიდა თუ არა პაკეტი.

დაუშვით ნამდვილი დისტანციური ადმინისტრატორი

ავტორიზაცია მისაწვდომობისგან ცალკე კითხვაა. გამოიყენეთ კარიბჭისა და ჰოსტის პოლიტიკა, შემოფარგლული იმ წყაროებითა და სერვისებით, რომლებსაც სჭირდებათ მართვის წვდომა. სტუმარი VPN ანგარიში, რომელსაც ერთი ლაბორატორიული აპლიკაცია სჭირდება, ამით არ უნდა მიაღწიოს მართვის სიბრტყეს და ბრტყელი წესი, რომელიც მთელ გვირაბის ქვექსელს უშვებს, სწორედ ის გზაა, რომლითაც ეს ხდება.

დატოვეთ ჩართული თავად ჰიპერვიზორის ავთენტიფიკაცია და სერტიფიკატის შემოწმებები. კერძო მარშრუტი არ არის მიზეზი გაუთვალისწინებელი იდენტობის გაფრთხილების გავლით დაწკაპუნებისთვის.

ღირს გაფრთხილების აღქმა აღმოჩენად და არა დაბრკოლებად. თუ სერტიფიკატი არ ემთხვევა თქვენ მიერ გამოყენებულ სახელს, ან სახელია არასწორი, ან სერვისი არ არის ის, რაც გგონიათ, და ორივე პასუხი მართვის ინტერფეისზე უფრო მნიშვნელოვანია, ვიდრე სხვაგან. მიაღწიეთ გვერდს იმ სახელით, რომლისთვისაც გაიცა სერტიფიკატი, და მიეცით DNS-ს ამ სახელის გვირაბის მისამართზე მითითების უფლება. კერძო სახელი, რომელიც LAN-სა და გვირაბს შორის არათანმიმდევრულად წყდება სერტიფიკატის ჩივილების ჩვეულებრივი მიზეზია, რომლებიც VPN-ის ხარვეზებს ჰგავს.

შეამოწმეთ მეორადი კავშირები

ზოგიერთი ფუნქცია იყენებს კავშირებს, რომლებსაც ვებგვერდი არ იყენებს. კონსოლის სესია, ISO-ს ატვირთვა, VNC ან SPICE პროქსი და მიგრაციის არხი შეიძლება თითოეულმა სხვა პორტი ან სხვა ჰოსტის მისამართი გამოიყენოს. როცა გვერდი იტვირთება და ერთი ფუნქცია ვერ მუშაობს, წაიკითხეთ ამ პროდუქტის მოთხოვნა და ნუ გახსნით ჰოსტზე ყველა პორტს.

ყველაფრის გახსნა ის გზაა, რომლითაც მართვის ინტერფეისი აუმართავი ხდება. ყოველი დამატებითი პორტი კიდევ ერთი მსმენელია, რომელიც განახლებული უნდა შენარჩუნდეს და ჰიპერვიზორი უკვე საკმარისს ამხელს. გამოავლინეთ კონკრეტული კავშირი, რომელიც ფუნქციას სჭირდება, დაადასტურეთ, რომ ის გვირაბის გავლით მისაწვდომია და დანარჩენი დახურული დატოვეთ. თუ ფუნქცია დაჟინებით ითხოვს პირდაპირ კავშირს ჰოსტის მისამართთან, რომელიც თქვენი გვირაბით არ იმარშრუტება, ეს დიზაინის შეზღუდვაა, რომელიც განზრახ უნდა ავირონოთ და არა დიაპაზონის გადამისამართების მიზეზი.

შეინახეთ დაბრუნების გზა, სანამ ქსელს შეეხებით

სანამ შეცვლით ვირტუალურ ქსელს, რომელიც თქვენს VPN-ს ატარებს, დაადასტურეთ, რომ გაქვთ ლოკალური ან დამოუკიდებელი დაბრუნების გზა.

ეს ყველაზე მეტად სახლის ლაბორატორიაში მნიშვნელოვანია, რადგან VPN-ის საბოლოო წერტილი ხშირად სწორედ იმ ჰიპერვიზორის ვირტუალური მანქანაა, რომლის მიღწევასაც ცდილობთ. ვირტუალური კომუტატორის, ხიდის ან ფაილვოლის წესის დისტანციურად შეცვლამ შეიძლება წაშალოს გზა, რომელსაც იყენებთ და სესია შეიძლება საკმარისად დიდხანს გაგრძელდეს, რომ ეს დაინახოთ.

სცადეთ ლაბორატორიის გარედან და არა LAN-იდან, და გადაამოწმეთ უარყოფებიც ისე, როგორც ნებართვები. ქსელი, რომელიც გვირაბიდან მიუწვდომელი უნდა დარჩეს, უნდა დარჩეს ასეთად თქვენი ცვლილების შემდეგაც და ეს ცალკე მტკიცებაა მართვის გვერდის ჩატვირთვისგან. ჩაწერეთ ორივე შედეგი, რადგან მეორეა ის, რომელიც გამოტოვებულია და რომელსაც მნიშვნელობა აქვს, როცა ლაბორატორია იზრდება.

შესანახი ჩანაწერი მოკლეა: მართვის მისამართი და სერვისი, მარშრუტი, რომელიც თითოეულ მხარეს სჭირდება, იდენტობები, რომლებსაც მიღწევის უფლება აქვთ და აღდგენის გზა. ეს საკმარისია, რომ შემდეგმა ადამიანმა მუშა მდგომარეობა ხელახლა გამოიყვანოს მისი ხელახალი დაშვების გარეშე.

თუ გვერდი ამ ყველაფრის შემდეგაც დროის ლიმიტს აღწევს, ჩაწერეთ ჰიპერვიზორზე და მოძებნეთ პაკეტი, სანამ კიდევ ერთ წესს შეცვლით. პაკეტი, რომელიც არასოდეს მოდის, მარშრუტიზაციის ან ფაილვოლის კითხვაა; პაკეტი, რომელიც მოდის და უარყოფილია, სერვისის ან პოლიტიკის კითხვაა; პაკეტი, რომელიც მოდის და პასუხს იღებს, სანამ კლიენტი ელოდება, დაბრუნების გზის კითხვაა. strongSwan-ის გადაცემის დოკუმენტაცია ხსნის, როგორ გადასცემს Linux კარიბჭე გვირაბის ტრაფიკს შიდა ჰოსტს. სამი ჩაწერა სჯობს კიდევ ერთ ვარაუდს.