Vagrant-VM verschwënnt beim VPN-Verbannen: wiem seng Route ass gebrach

D'Maschinn huet virun enger Minutt geäntwert, de VPN huet sech verbonnen, an elo leeft déiselwecht Adress an en Timeout. Dräi Feeler produzéieren dee Symptom, an si sëtzen op verschiddene Maschinnen. Den Host ka d'Route an den private Netz verléieren, de NAT-Beräich vum Gaascht ka mat engem Beräich kollidéieren, deen den Tunnel elo ugekündegt, oder en kompletten Tunnel kann d'Eegentum vun all Route um Host iwwerhuelen. Fënnt eraus, wéi ee geschitt ass, ier Dir eng Konfiguratioun ännert, well all Reparatur sëtzt soss.

Kuckt d'Route, net d'Maschinn

Kuckt d'Routing-Entscheedung vum Host fir d'Adress vum Gaascht, während den Tunnel steet. Eng Route, déi nach op den Host-Only-Adapter weist, ass net de Problem. Eng Route, déi elo op den VPN-Adapter weist, ass de Problem, an de Client huet se geännert, net Dir. Datt den Adapter seng Adress behält, seet datt d'Interface iwwerlieft huet, wat en anere Fakt ass wéi en iwwerlieften Trajet.

Eng SSH-Sessioun, déi genee am Verbannmoment ofbricht, ass erwaart Verhalen. De Client recycelt Adapteren an installéiert Routen, dofir stierft d'Verbindung fir e puer Sekonnen. De Feeler ass d'Verbindung, déi ni zréckkënnt, net déi, déi just geblinkt huet.

Halt d'Tabell virum Tunnel fest an nach eng Kéier duerno, a vergläicht dann déi zwou Ausgaben. Den Ënnerscheed ass d'Diagnos, an et ass och de Beweis, deen e Netzwierkbesëtzer froe wäert.

ip -4 route get 192.168.56.10
ip -brief addr show
ip route show table main | head -20

Liest d'Tabell vum Host virun an no

Op Linux kënnt de Virrang tëscht iwwerlappende Route vun der Prefixlängt an der Metrik, dofir gewënnt eng méi spezifesch VPN-Route, och wann se falsch ass. Op Windows entscheet d'Interface-Metrik de Gläichstand, an den Tunneladapter kënnt meeschtens mat enger méi niddereger Metrik wéi dee virtuelle. An allen zwou Fäll ass de sichtbare Symptom identesch: d'Pakte verloossen iwwer den Tunneladapter a verschwannen.

Dréckt d'Adapteren an hir Metriken niewent der Route fir de Prefix vum Gaascht aus. Dee Paar Ausgaben äntwert d'Eegentumsfro mat engem Bléck.

Get-NetAdapter | Select-Object Name, InterfaceIndex, InterfaceMetric
Get-NetRoute -DestinationPrefix 192.168.56.0/24
route print -4 | Select-String '192.168.56'

Wann d'Route sech geännert huet, d'Metrik vum Adapter awer net, huet de Client eng konkurréierend Route installéiert. Wann d'Metrik sech geännert huet, huet de Client d'Adapteren ëmgeuerdnet. Béides ass reparabel, a béides gëtt op verschiddene Plaze reparéiert.

Wann de NAT-Beräich vum Gaascht d'Kollisioun ass

VirtualBox NAT benotzt par défaut 10.0.2.0/24, an en Tunnel, deen deeselwechte Beräich dréckt, bréngt de Gaascht dozou, deen Trafic un säi NAT-Gateway ze schécken amplaz un d'real Destinatioun. D'Pak verloossst den Host ni, dofir wäert keen Firewall-Log op der anerer Säit et weisen. Docker Machine huet déi selwecht Klass vu Konflikt a sengem Host-Only-Plang, an eng Ännerung vun deem Plang kann erfuerderen, d'Maschinn mat hire Certificaten nei ze maachen.

Wielt den Ersatz, andeem Dir oplëscht, wat den Tunnel schonn ugekündegt, dann wat den Büro-Netzwierk benotzt, dann wat all virtuelen Adapter op dësem Host beusprocht huet. D'Iwwerlappung ass et, wat d'Routing brécht, an d'Ähnlechkeet ass irrelevant. E Beräich ka komplett an engem aneren sinn, während en op den éischte Bléck guer net sou ausgesäit.

Setzt den neie Beräich beim Erstelle vun der Maschinn, oder ännert en a lued nei, a test dann déi feelend Verbindung nees vum Gaascht aus. D'Tabell vum Gaascht selwer ass d'Vue, op déi et ukënnt.

VBoxManage modifyvm devbox --natnet1 10.77.0.0/24
vagrant reload devbox --provision
vagrant ssh devbox -c 'ip route get 10.20.0.15'

Stellt den Trajet hier, ouni mam Client ze kämpfen

All Plattform bitt e Wee, de Host-Only-Prefix nees no vir ze bréngen. Op macOS funktionnéiert eng statesch Route op d'Host-Only-Interface bis zur nächster Verbindung. Op Windows hält eng méi niddereg Interface-Metrik op dem virtuelen Adapter en favoriséiert. Op Linux deckt eng Ersetzungsoperatioun en eenzegen Prefix of. All dräi sinn Nouthëllefen, well en Client, deen seng Route nees duerchsetzt, se rückgängeg mécht.

Skript d'Prüfung amplaz vun enger blinder Reconnectioun beim Start. En klengt Skript, dat no all Verbindung d'Route fir de Prefix vum Gaascht ausdréckt, mécht aus engem Rätsel eng Linn am Log.

Wann de Profil en kompletten Tunnel ass, freet den Netzwierkbesëtzer ëm Split-Tunneling oder eng dokumentéiert Ausnam. Routen hannerhältlech bäizesetzen, déi eng Sécherheetspolitik ëmgoen, ass keng Reparatur, et ass en zweete Problem, dat méi spéit mat engem Auditeur kënnt.

Préift d'Reparatur op béide Säiten

Verifizéiert dräi Trajete no der Ännerung: Host op Gaascht, Gaascht op de Firmenhost an de Gaascht op den Internet. Eng Reparatur, déi een dovu restauréiert an en aneren doruechter bréngt, ass eng Konfiguratiounsännerung, déi sech als Reparatur verkleet. Halt déiselwecht Ausgaben un, déi Dir virun der Ännerung gesammelt hutt, sou datt de Verglach gläich mat gläich ass.

Notéiert d'Interface, d'Metrik an d'Route, déi sech geännert hunn, zesumme mat der Zäit, sou datt déi nächst Kéier eng Nofro ass an net en Neibau. Dee Notiz ass méi wäert wéi en lange Ticket-Thread.

ip -4 route get 192.168.56.10
traceroute -n -m 4 10.20.0.15
curl -sS -o /dev/null -w '%{http_code}\n' https://example.com

Wann den Host de Gaascht nees erreecht an de Gaascht de LAN erreecht, hutt Dir den Trajet restauréiert, mat deem Dir ugefaangen hutt. Wann nëmmen ee vun deenen zwou funktionnéiert, ass de verbleiwanen Feeler am Territoire vum aneren Eegentümer, an den Ënnerscheed seet Iech, wéi en Territoire dat ass.