Hypervisor aus dem Heemlabo net erreechbar iwwer VPN: wou een no kuckt

Den Tunnel kënnt erop, d'Websäit vum Hypervisor leeft an en Timeout, an de Client seet, hien ass verbonnen. Dës Kombinatioun schléisst iwwerraschend vill aus: den VPN-Handshake funktionnéiert, de Client huet eng Adress, an den Endpunkt ass erreechbar. Wat bleift, ass eng kuerz Lëscht vu Routing- a Politikfroen, an si hunn eng natierlech Reihenfolge. Schafft si vum Hypervisor no baussen of an net vum Client no bannen, well den eegene Zustand vum Hypervisor dat Bëllegst ass ze bestätegen.

Fänkt mam Verwaltungssegment un

Confirméiert d'Verwaltungsadress vum Hypervisor an de Service, deen drop lauschtert, a confirméiert, datt d'Säit vun engem aneren Host an deem Segment lued, ier dir eppes aus der Ferne diagnostizéiert. En Test dee lokal feelt ass kee VPN-Problem, an et ass eng fënnefminutteg Kontroll déi eng Stonn spuert.

Dann déi zwou Weeër. Den VPN-Client brauch eng Route an de Verwaltungsnetz, wat meeschtens bedeit, datt d'AllowedIPs vum Client oder d'gedréckt Routen dee Subnetz enthalen. Den Hypervisor, oder säi Standardgateway, brauch en Zeréckwee fir de Client-Adresspool, ausser den Design iwwersetzt d'Quell bewosst beim Erauskommen. Dat sinn zwou getrennte Fakten an et feelt eng vun deenen zwee, gëtt et dee selwechte Timeout. Préift si getrennt: ip route get 192.168.10.20 um Client, an eng Opnam um Hypervisor-Host déi weist ob de Pak ukomm ass.

Erlaabt den tatsächlechen Remote-Administrator

D'Autorisatioun ass eng aner Fro wéi d'Erreechbarkeet. Benotzt Gateway- an Host-Politik, limitéiert op d'Quellen an d'Servicer déi Verwaltungszougang brauchen. E Gaascht-VPN-Konto deen eng Labapplikatioun brauch sollt doduerch net an d'Verwaltungsebene kommen, an eng flaach Regel déi de ganzen Tunnel-Subnetz erlaabt ass de Wee wéi dat geschitt.

Loosst dem Hypervisor seng eegen Authentifikatioun an d'Zertifikatspréifungen un. Eng privat Route ass kee Grond fir duerch eng onerwaart Identitéitswarnung ze klicken.

D'Warnung ass et wäert als Befund ze behandelen an net als Hindernis. Wann den Zertifikat net zum Numm passt deen dir benotzt hutt, ass entweder den Numm falsch oder de Service ass net deen den dir mengt, an déi zwou Äntwerten zielen op enger Verwaltungsschnittstell méi wéi soss anzwousch. Erreecht d'Säit mam Numm fir deen den Zertifikat ausgestallt gouf, a loosst DNS deen Numm op d'Tunneladress weisen. En private Numm deen tëschent dem LAN an dem Tunnel inkonsistent opgeléist gëtt ass eng heefeg Ursaach vu Zertifikatsbeschwéieren déi wéi VPN-Feeler ausgesinn.

Préift d'Sekundärverbindungen

Verschidde Funktiounen benotze Verbindungen déi d'Websäit net benotzt. Eng Konsolsitzung, en ISO-Upload, en VNC- oder SPICE-Proxy an en Migratiounskanal kënnen all en anere Port oder eng aner Hostadress benotzen. Wann d'Säit lued an eng Funktioun feelt, liest d'Ufuerderung vun deem Produkt amplaz all Port um Host opzemaachen.

Alles opzemaachen ass de Wee wéi eng Verwaltungsschnittstell eng onverwaltete gëtt. All zousätzleche Port ass en anere Lauschterer deen een aktualiséiert halen muss, an en Hypervisor weist der schonn genuch. Identifizéiert déi spezifesch Verbindung déi d'Funktioun brauch, confirméiert datt si duerch den Tunnel erreechbar ass, a loosst de Rescht zou. Wann d'Funktioun op enger direkter Verbindung mat enger Hostadress insistéiert déi net duerch ären Tunnel geroutet ka ginn, ass dat eng Designaschränkung déi ee bewosst ëmgeet, kee Grond fir e Beräich virun ze leeden.

Halt en Zeréckwee ier dir den Netz ufässt

Ier dir den virtuelle Netz ännert deen ären eegene VPN dréit, confirméiert datt dir en lokalen oder onofhängegen Zeréckwee hutt.

Dat zielt am meeschten an engem Heemlabo, well den VPN-Endpunkt dacks eng virtuell Maschinn op genau deem Hypervisor ass deen dir versicht z'erreechen. En virtuelle Switch, eng Bréck oder eng Firewallregel aus der Ferne z'änneren ka de Wee ewechhuelen deen dir benotzt, an d'Sitzung ka laang genuch iwwerliewen fir dat ze gesinn.

Test vun ausserhalb vum Labo an net aus dem LAN, a verifizéiert d'Oflehnungen esou wéi d'Erlaabnesser. En Netz dat vum Tunnel aus onerreechbar bleiwe soll, soll et och no ärer Ännerung bleiwen, an dat ass eng aner Ausso wéi d'Luede vun der Verwaltungssäit. Schreift béid Resultater op, well dat zweet ass dat wat iwwersprong gëtt an dat wat zielt wann d'Labo wiisst.

D'Opzeechnung déi een halen ass kuerz: d'Verwaltungsadress an de Service, d'Route déi all Säit brauch, d'Identitéiten déi erreeche kënnen, an den Erhuelungswee. Dat ass genuch fir déi nächst Persoun de funktionéierende Zoustand ze reproduzéieren ouni en nees ofzeleeden.

Wann d'Säit no deem allem nach an en Timeout leeft, maacht eng Opnam um Hypervisor a sicht de Pak ier dir nach eng Regel ännert. E Pak deen ni ukomm ass eng Routing- oder Firewallfro; e Pak deen ukomm ass a verworf gëtt eng Service- oder Politikfro; e Pak deen ukomm ass a beäntwert gëtt wärend de Client waart eng Zeréckweefro. D'strongSwan-Dokumentatioun iwwer d'Weiterleeden beschreift wéi eng Linux-Gateway den Tunneltrafic un en internen Host weiderleet. Dräi Opname schloen nach eng Vermutung.