VPN įjungtas, VM nepasiekiama? Maršrutas greičiausiai niekada nebuvo problema

Prijunkite VPN, ir vystymo VM, kuri prieš minutę atsakinėjo, nutyla. Akivaizdi istorija rašosi pati: tunelis paėmė maršrutą, hostas dabar siunčia svečio srautą į įmonės tinklą, o sprendimas yra pridėti statinį maršrutą arba perjungti adapterį į tiltelio režimą. Ta istorija kartais teisinga. Bet tai ne įprasta priežastis, o veikimas pagal ją pirmiausia paprastai sulaužo ką nors kita.

Host-only tinklas yra programinė tinklas, priklausantis hostui ir bendrinamas su jo svečiais, atskirtas nuo bet kokio fizinio prisijungimo. Niekas pačioje VPN kliento sąsajoje nekeičia to tinklo, todėl prieš jį liesdami išsiaiškinkite, kuris iš keturių sluoksnių iš tikrųjų nepavyko.

Maršrutas paprastai vis dar vietinis

Klauskite branduolio, o ne maršrutų lentelės pirmojo puslapio. Linux sistemoje ip route get 192.168.56.10 praneša tikslų maršrutą, sąsają ir šaltinio adresą, kurie būtų naudojami, o tai kitas atsakymas nei numatytojo maršruto skaitymas ir spėjimas. Jei išvestis įvardija host-only sąsają, tunelis tame kelyje visiškai nedalyvauja.

Du dalykai iš tikrųjų gali jį sulaužyti, ir abu yra adresų, o ne VPN problemos. Nuotolinis potinklis, kuris persidengia su host-only priešdėliu, leidžia laimėti konkretesniam maršrutui, o VPN klientas, įdiegiantis platų maršrutą su žemesne metrika, gali nutraukti priešdėlį. Abu matomi toje pačioje komandoje: išvestyje įvardyta sąsaja bus tunelis, o pataisymas priklauso tam, kam priklauso tas adresų planas.

Maršruto pasirinkimas ir paketo priėmimas yra skirtingi sprendimai

Tai dalis, kurios mąstymo modelis paprastai nepastebi. Net su tobulu vietiniu maršrutu VPN klientas gali atmesti paketą. Daugelis klientų taiko vietinio tinklo prieigos politiką, kuri nusprendžia, kurie tikslai leidžiami už tunelio ribų, o prijungtas potinklis to sąrašo automatiškai neatnaujina.

Todėl gedimas iš programos pusės atrodo identiškai kaip maršrutizavimo problema, o iš kliento pusės visiškai kitaip. Jei ip route get įvardija teisingą sąsają, o ryšys vis tiek baigiasi laiko limitu, nustokite redaguoti maršrutus ir vietoj to perskaitykite dokumentuotą kliento vietinės prieigos elgseną. Kai kurie klientai siūlo vietinių potinklių leidžiamųjų sąrašą, kiti blokuoja viską, kas nėra tunelis, o dar kiti blokuoja tik tada, kai įjungtas kill switch.

Šis skirtumas svarbus, nes pataisymai nėra keičiami. Maršruto pridėjimas negali patenkinti filtro, o filtro išjungimas norint pasiekti vieną svečią yra daug didesnis sprendimas, nei rodo simptomas.

Svečias turi tris būdus pasakyti ne

Svečias, kuris gali naršyti internete, nieko neįrodė apie paslaugą, kurios norite. Klausytojas gali būti prijungtas prie 127.0.0.1 svečio viduje, ir tokiu atveju jokia užklausa iš hosto negali atvykti, kad ir koks geras būtų kelias. Patikrinkite su ss -ltn svečio viduje ir pažiūrėkite į vietinio adreso stulpelį, o ne tik į prievadą.

Toliau yra paties svečio ugniasienė. Vystymo atvaizdas su griežtu numatytuoju nustatymu gali priimti hosto paketus ir numesti juos paslaugos ribose, o tai sukuria laiko limitą, kuris atrodo lygiai kaip maršrutizavimo juodoji skylė. Galiausiai yra pačios paslaugos konfigūracija: svetainės programa, susieta su konkrečiu hosto vardu, arba leidžiamų kliento adresų sąrašas atsisakys užklausos iš host-only potinklio, net kai atvyksta kiekvienas paketas.

Pereikite tuos tris prieš svarstydami keisti VM tinklo režimą. Kiekvienas yra mažesnis pakeitimas nei iš naujo projektuoti svečio prisijungimą, ir kiekvienas turi aiškų testą.

Kas iš tikrųjų yra tiltelis ir kiek jis kainuoja

Adapterio perjungimas į tiltelio režimą nėra host-only kelio taisymas. Tai sprendimas patalpinti svečią kitame tinkle, paprastai fiziniame LAN, kur jis tampa matomas viskam, kas ten gyvena. Tai gali būti būtent tai, ko norite. Bet tai ne tai, ką darė pradinė konfigūracija.

Naudokite jį, kai svečias iš tikrųjų turi būti lygiavertis to LAN narys ir poveikis patvirtintas. Nenaudokite jo todėl, kad viena paslauga nustojo atsakinėti, nes pakeitimas gali išvesti svečią iš izoliacijos, kuri padarė kūrimą prieš jį saugų.

Po kiekvieno patvirtinto pataisymo testuokite fiksuota tvarka: nauja užklausa iš hosto į svečią, reikalingas įmonės išteklius per tunelį ir numatytas atmestas elgesys, kai tunelis išjungtas. Jei paskutinis nebegalioja, pataisymas peržengė problemą.

VirtualBox host-only tinklo skyrius aprašo hosto pusės programinę sąsają ir kuo ji skiriasi nuo tiltelio prisijungimo, ir tai yra nuoroda, kurią verta perskaityti prieš darant prielaidą, kad abu režimai yra keičiami.