Namų laboratorijos hipervizorius nepasiekiamas per VPN: kur ieškoti

Tunelis pakyla, hipervizoriaus interneto puslapis baigia laukti, o klientas sako esąs prisijungęs. Šis derinys atmeta stebėtinai daug: VPN rankos paspaudimas veikia, klientas turi adresą, o galinis taškas pasiekiamas. Liko trumpas maršrutizavimo ir politikos klausimų sąrašas, ir jie turi natūralią tvarką. Nagrinėkite juos nuo hipervizoriaus į išorę, o ne nuo kliento į vidų, nes pati hipervizoriaus būsena yra pigiausia tai patvirtinti.

Pradėkite nuo valdymo segmento

Patvirtinkite hipervizoriaus valdymo adresą ir jame klausančią paslaugą bei tai, kad puslapis įkeliamas iš kito to segmento kompiuterio, prieš diagnozuodami ką nors nuotoliniu būdu. Nepavykęs vietinis testas nėra VPN problema, ir tai penkių minučių patikra, sutaupanti valandą.

Tada du keliai. VPN klientui reikia maršruto į valdymo tinklą, o tai paprastai reiškia, kad kliento AllowedIPs arba stumiami maršrutai apima tą potinklį. Hipervizoriui arba jo numatytajai tinklų sietuvai reikia grįžimo kelio į klientų adresų telkinį, nebent projektas sąmoningai verčia šaltinį įėjime. Tai du atskiri faktai, ir trūkstant bet kurio gaunamas tas pats laukimo limitas. Patikrinkite juos atskirai: ip route get 192.168.10.20 kliente ir įrašas hipervizoriaus kompiuteryje, parodantis, ar paketas apskritai atėjo.

Leiskite tikrajam nuotoliniam administratoriui

Autorizacija yra atskiras klausimas nuo pasiekiamumo. Naudokite tinklų sietuvo ir kompiuterio politiką, apribotą šaltiniais ir paslaugomis, kurioms reikia valdymo prieigos. Svečio VPN paskyra, kuriai reikia vienos laboratorijos programos, neturėtų tuo būdu pasiekti valdymo plokštumos, o plokščia taisyklė, leidžianti visą tunelio potinklį, yra būdas, kuriuo tai nutinka.

Palikite įjungtą paties hipervizoriaus autentifikaciją ir sertifikatų patikras. Privatus maršrutas nėra priežastis pereiti pro netikėtą tapatybės įspėjimą.

Įspėjimą verta traktuoti kaip radinį, o ne kaip kliūtį. Jei sertifikatas neatitinka naudoto vardo, vardas neteisingas arba paslauga ne ta, kurią manote, ir abu atsakymai valdymo sąsajoje svarbesni nei bet kur kitur. Pasiekite puslapį vardu, kuriam sertifikatas buvo išduotas, ir leiskite DNS tam vardui nurodyti tunelio adresą. Privatus vardas, kuris tarp LAN ir tunelio sprendžiamas nenuosekliai, yra dažna sertifikatų nusiskundimų priežastis, atrodanti kaip VPN gedimai.

Patikrinkite antrines jungtis

Kai kurios funkcijos naudoja jungtis, kurių interneto puslapis nenaudoja. Konsolės sesija, ISO įkėlimas, VNC arba SPICE tarpinė serveris ir migracijos kanalas gali kiekvienas naudoti skirtingą prievadą ar skirtingą kompiuterio adresą. Kai puslapis įkeliamas ir viena funkcija nepavyksta, skaitykite to produkto reikalavimą, o ne atidarykite visus kompiuterio prievadus.

Atidaryti viską yra būdas, kuriuo valdymo sąsaja tampa nevaldoma. Kiekvienas papildomas prievadas yra dar vienas klausytojas, kurį reikia prižiūrėti, o hipervizorius jų jau atskleidžia pakankamai. Nustatykite konkrečią jungtį, kurios reikia funkcijai, patvirtinkite, kad ji pasiekiama per tunelį, o likusias palikite uždarytas. Jei funkcija reikalauja tiesioginės jungties su kompiuterio adresu, kuris nėra maršrutizuojamas per jūsų tunelį, tai projektavimo apribojimas, kurį reikia sąmoningai apeiti, o ne priežastis persiųsti diapazoną.

Išsaugokite grįžimo kelią prieš liesdami tinklą

Prieš keisdami virtualų tinklą, kuriuo eina jūsų pačių VPN, patvirtinkite, kad turite vietinį ar nepriklausomą grįžimo kelią.

Tai svarbiausia namų laboratorijoje, nes VPN galinis taškas dažnai yra virtualioji mašina tame pačiame hiperviziatoriuje, kurį bandote pasiekti. Virtualaus komutatoriaus, tilto ar ugniasienės taisyklės keitimas nuotoliniu būdu gali pašalinti kelią, kuriuo naudojatės, o sesija gali išgyventi pakankamai ilgai, kad tai pamatytumėte.

Išbandykite iš laboratorijos išorės, o ne iš LAN, ir patikrinkite atmetimus taip pat kaip leidimus. Tinklas, kuris turi likti nepasiekiamas iš tunelio, turi likti toks ir po jūsų pakeitimo, ir tai yra atskiras teiginys nuo valdymo puslapio įkėlimo. Užrašykite abu rezultatus, nes antrasis yra tas, kuris praleidžiamas, ir tas, kuris svarbus, kai laboratorija auga.

Įrašas, kurį verta saugoti, trumpas: valdymo adresas ir paslauga, maršrutas, kurio reikia kiekvienai pusei, tapatybės, kurioms leidžiama pasiekti, ir atkūrimo kelias. To pakanka, kad kitas žmogus atkurtų veikiančią būseną jos iš naujo neišvedinėdamas.

Jei puslapis vis dar baigia laukti po viso to, darykite įrašą hiperviziatoriuje ir ieškokite paketo, prieš keisdami dar vieną taisyklę. Paketas, kuris niekada neatvyksta, yra maršrutizavimo ar ugniasienės klausimas; paketas, kuris atvyksta ir atmetamas, yra paslaugos ar politikos klausimas; paketas, kuris atvyksta ir sulaukia atsakymo, kol klientas laukia, yra grįžimo kelio klausimas. strongSwan persiuntimo dokumentacija paaiškina, kaip Linux tinklų sietuvas persiunčia tunelio srautą vidiniam kompiuteriui. Trys įrašai nugali dar vieną spėjimą.