홈 랩 하이퍼바이저, VPN으로 접속 불가: 어디를 볼까

터널이 올라오고 하이퍼바이저의 웹 페이지는 시간 초과가 나며 클라이언트는 연결되었다고 말한다. 이 조합은 놀랄 만큼 많은 것을 배제한다: VPN 핸드셰이크는 동작하고, 클라이언트에는 주소가 있으며, 엔드포인트는 도달 가능하다. 남는 것은 라우팅과 정책에 관한 짧은 질문 목록이며 자연스러운 순서가 있다. 하이퍼바이저 자체의 상태가 확인하기에 가장 값싼 대상이기 때문에 클라이언트에서 안쪽으로가 아니라 하이퍼바이저에서 바깥쪽으로 진행하라.

관리 세그먼트부터 시작하라

하이퍼바이저의 관리 주소와 그 위에서 수신하는 서비스를 확인하고, 원격으로 무엇이든 진단하기 전에 같은 세그먼트의 다른 호스트에서 페이지가 로드되는지 확인하라. 실패하는 로컬 테스트는 VPN 문제가 아니며, 한 시간을 아끼는 오 분짜리 점검이다.

다음은 두 경로다. VPN 클라이언트에는 관리 네트워크로 가는 경로가 필요하며, 보통 클라이언트의 AllowedIPs 또는 푸시된 경로에 그 서브넷이 포함된다는 뜻이다. 하이퍼바이저 또는 그 기본 게이트웨이에는, 설계가 들어오는 쪽에서 소스를 의도적으로 변환하지 않는 한, 클라이언트 주소 풀로 돌아가는 경로가 필요하다. 이것은 별개의 두 사실이며 어느 하나가 빠져도 같은 시간 초과가 난다. 따로 확인하라: 클라이언트에서 ip route get 192.168.10.20, 그리고 패킷이 애초에 도착했는지 보여 주는 하이퍼바이저 호스트의 캡처다.

실제 원격 관리자를 허용하라

권한 부여는 도달 가능성과 다른 질문이다. 게이트웨이와 호스트 정책을 관리 접근이 필요한 소스와 서비스로 제한하라. 랩 애플리케이션 하나가 필요한 게스트 VPN 계정이 그 때문에 관리 평면에 도달해서는 안 되며, 터널 서브넷 전체를 허용하는 평평한 규칙이 바로 그런 일이 일어나는 방식이다.

하이퍼바이저 자체의 인증과 인증서 검사를 켜 둬라. 사설 경로는 예상치 못한 신원 경고를 그냥 넘길 이유가 아니다.

경고를 장애물이 아니라 발견으로 다루는 편이 낫다. 인증서가 사용한 이름과 일치하지 않는다면 이름이 틀렸거나 서비스가 생각하는 그것이 아니며, 두 답 모두 관리 인터페이스에서는 다른 어디보다 중요하다. 인증서가 발급된 이름으로 페이지에 도달하고, DNS가 그 이름을 터널 주소로 가리키게 하라. LAN과 터널 사이에서 일관성 없이 해석되는 사설 이름은 VPN 장애처럼 보이는 인증서 불만의 흔한 원인이다.

보조 연결을 확인하라

일부 기능은 웹 페이지가 쓰지 않는 연결을 쓴다. 콘솔 세션, ISO 업로드, VNC 또는 SPICE 프록시, 마이그레이션 채널은 각각 다른 포트나 다른 호스트 주소를 쓸 수 있다. 페이지가 로드되고 한 기능이 실패하면 호스트의 모든 포트를 여는 대신 그 제품의 요구 사항을 읽어라.

모두 여는 것이 관리 인터페이스를 관리되지 않는 인터페이스로 만드는 길이다. 추가 포트마다 패치를 유지해야 할 수신기가 하나씩 늘어나며, 하이퍼바이저는 이미 충분히 노출하고 있다. 그 기능이 필요로 하는 특정 연결을 식별하고, 터널을 통해 도달 가능한지 확인하고, 나머지는 닫아 두라. 기능이 터널로 라우팅할 수 없는 호스트 주소로의 직접 연결을 고집한다면, 그것은 의도적으로 우회해야 할 설계 제약이지 범위를 전달할 이유가 아니다.

네트워크를 건드리기 전에 돌아올 길을 확보하라

자기 VPN을 실어 나르는 가상 네트워크를 바꾸기 전에 로컬 또는 독립적인 돌아올 길이 있는지 확인하라.

VPN 엔드포인트가 도달하려는 하이퍼바이저 자체의 가상 머신인 경우가 많기 때문에 이것은 홈 랩에서 가장 중요하다. 가상 스위치, 브리지, 방화벽 규칙을 원격에서 바꾸면 사용 중인 경로가 사라질 수 있고, 세션은 그 일이 일어나는 것을 볼 만큼 살아남을 수 있다.

LAN이 아니라 랩 외부에서 시험하고, 허용만큼 거부도 검증하라. 터널에서 도달할 수 없어야 하는 네트워크는 변경 후에도 도달할 수 없어야 하며, 그것은 관리 페이지 로드와 별개의 주장이다. 두 번째가 건너뛰어지는 것이고 랩이 커질 때 중요한 것이므로 두 결과를 모두 적어 두라.

남길 기록은 짧다: 관리 주소와 서비스, 양쪽에 필요한 경로, 도달이 허용된 신원, 복구 경로다. 그것만으로 다음 사람이 동작 상태를 다시 유도하지 않고 재현할 수 있다.

그 모든 뒤에도 페이지가 시간 초과라면, 다른 규칙을 바꾸기 전에 하이퍼바이저에서 캡처하고 패킷을 찾아라. 결코 도착하지 않는 패킷은 라우팅이나 방화벽의 질문이고, 도착해서 거부되는 패킷은 서비스나 정책의 질문이며, 클라이언트가 기다리는 동안 도착해 응답되는 패킷은 돌아오는 경로의 질문이다. strongSwan의 전달 문서는 Linux 게이트웨이가 터널 트래픽을 내부 호스트로 전달하는 방법을 다룬다. 세 번의 캡처가 한 번의 추측을 이긴다.