Үй зертханасының гипервизоры VPN арқылы қолжетімсіз: қайдан қарау керек

Туннель көтеріледі, гипервизордың веб-беті уақыт шегіне жетеді, ал клиент қосылғанын айтады. Бұл үйлесім таңғаларлық көп нәрсені жоққа шығарады: VPN қол алысуы жұмыс істейді, клиентте мекенжай бар және соңғы нүктеге қол жеткізуге болады. Қалатыны — маршруттау мен саясат туралы сұрақтардың қысқа тізімі, олардың табиғи реті бар. Оларды клиенттен ішке қарай емес, гипервизордан сыртқа қарай өңдеңіз, өйткені гипервизордың өз күйін растау ең арзан нәрсе.

Басқару сегментінен бастаңыз

Гипервизордың басқару мекенжайын және онда тыңдайтын қызметті растаңыз, әрі кез келген қашықтан диагностикалаудан бұрын беттің сол сегменттегі басқа хосттан жүктелетінін растаңыз. Сәтсіз жергілікті тест VPN мәселесі емес және бұл бір сағатты үнемдейтін бес минуттық тексеру.

Содан кейін екі жол. VPN клиентіне басқару желісіне маршрут қажет, бұл әдетте клиенттің AllowedIPs немесе итерілген маршруттары сол қосымша желіні қамтитынын білдіреді. Гипервизорға немесе оның әдепкі шлюзіне клиент мекенжайлары пулына қайту жолы қажет, егер дизайн кірісте көзді арнайы аудармайтын болса. Бұл екі бөлек факт және біреуінің болмауы бірдей уақыт шегін береді. Оларды бөлек тексеріңіз: клиентте ip route get 192.168.10.20, және гипервизор хосттыда пакеттің мүлде келгенін көрсететін түсірілім.

Нақты қашықтан әкімшіге рұқсат беріңіз

Авторизация қолжетімділіктен бөлек сұрақ. Шлюз және хост саясатын басқару рұқсаты қажет көздер мен қызметтерге шектеңіз. Бір зертханалық қолданба қажет қонақ VPN тіркелгісі сол арқылы басқару жазықтығына жетпеуі керек, ал бүкіл туннель қосымша желісін қабылдайтын тегіс ереже — осылай болатын жол.

Гипервизордың өз аутентификациясы мен сертификат тексерулерін қосулы ұстаңыз. Жеке маршрут күтпеген сәйкестік ескертуінен өтуге себеп емес.

Ескертуді кедергі емес, табылған нәрсе ретінде қараған жөн. Егер сертификат сіз пайдаланған атауға сәйкес келмесе, атау дұрыс емес немесе қызмет сіз ойлағандай емес, және екі жауап та басқару интерфейсінде басқа жердегіден маңыздырақ. Бетке сертификат берілген атаумен жетіңіз және DNS сол атауды туннель мекенжайына бағыттасын. LAN мен туннель арасында дәйексіз шешілетін жеке атау VPN ақауына ұқсайтын сертификат шағымдарының жиі себебі.

Қосымша қосылымдарды тексеріңіз

Кейбір мүмкіндіктер веб-бет пайдаланбайтын қосылымдарды пайдаланады. Консоль сессиясы, ISO жүктеу, VNC немесе SPICE проксиі және көшіру арнасы әрқайсысы басқа порт немесе басқа хост мекенжайын пайдалануы мүмкін. Бет жүктеліп, бір мүмкіндік істен шыққанда, хосттағы барлық портты ашудың орнына сол өнімнің талабын оқыңыз.

Барлығын ашу — басқару интерфейсінің басқарылмайтын интерфейске айналу жолы. Әрбір қосымша порт — жаңартылып отыруы керек тағы бір тыңдаушы, ал гипервизор олардың жеткіліктісін әлдеқашан ашады. Мүмкіндікке қажет нақты қосылымды анықтаңыз, оның туннель арқылы қолжетімді екенін растаңыз, ал қалғанын жабық қалдырыңыз. Егер мүмкіндік туннель арқылы маршрутталмайтын хост мекенжайына тікелей қосылуды талап етсе, бұл әдейі айналып өту керек дизайн шектеуі, ауқымды қайта бағыттауға себеп емес.

Желіге тиюден бұрын қайту жолын сақтаңыз

Өз VPN-іңізді тасымалдайтын виртуалды желіні өзгертуден бұрын жергілікті немесе тәуелсіз қайту жолыңыз бар екенін растаңыз.

Бұл үй зертханасында ең маңызды, өйткені VPN соңғы нүктесі көбіне жетуге тырысқан гипервизордың өзіндегі виртуалды машина. Виртуалды коммутаторды, көпірді немесе файрвол ережесін қашықтан өзгерту пайдаланып отырған жолыңызды жоя алады, ал сессия мұны көруге жететіндей ұзақ өмір сүруі мүмкін.

LAN-нан емес, зертхана сыртынан сынаңыз және рұқсаттармен қатар бас тартуларды да тексеріңіз. Туннельден қолжетімсіз болып қалуы тиіс желі өзгерісіңізден кейін де қолжетімсіз болып қалуы керек, және бұл басқару бетінің жүктелуінен бөлек тұжырым. Екі нәтижені де жазып қойыңыз, өйткені екіншісі назардан тыс қалады және зертхана өскенде маңызды болады.

Сақталатын жазба қысқа: басқару мекенжайы мен қызметі, әр жаққа қажет маршрут, жетуге рұқсат етілген сәйкестіктер және қалпына келтіру жолы. Бұл келесі адамға жұмыс күйін қайта шығармай қайта жаңғыртуға жеткілікті.

Осының бәрінен кейін де бет уақыт шегіне жетсе, тағы бір ережені өзгертуден бұрын гипервизорда түсірілім жасап, пакетті іздеңіз. Ешқашан келмейтін пакет — маршруттау немесе файрвол сұрағы; келіп, қабылданбайтын пакет — қызмет немесе саясат сұрағы; келіп, клиент күтіп тұрғанда жауап алатын пакет — қайту жолының сұрағы. strongSwan-ның қайта бағыттау құжаттамасы Linux шлюзінің туннель трафигін ішкі хостқа қалай беруін түсіндіреді. Үш түсірілім тағы бір болжамнан артық.