Mājas laboratorijas hipervizors nav sasniedzams VPN: kur meklēt

Tunis paceļas, hipervizora tīmekļa lapa nokļūst līdz taimautam, un klients saka, ka ir pievienots. Šī kombinācija pārsteidzoši daudz ko izslēdz: VPN rokasspiediens darbojas, klientam ir adrese, un galapunkts ir sasniedzams. Paliek īss maršrutēšanas un politikas jautājumu saraksts, un tiem ir dabiska secība. Apstrādājiet tos no hipervizora uz āru, nevis no klienta uz iekšu, jo paša hipervizora stāvokli ir vislētāk apstiprināt.

Sāciet ar pārvaldības segmentu

Apstipriniet hipervizora pārvaldības adresi un pakalpojumu, kas tajā klausās, un apstipriniet, ka lapa ielādējas no cita resursdatora šajā segmentā, pirms diagnosticējat kaut ko attālināti. Vietējais tests, kas neizdodas, nav VPN problēma, un tā ir piecu minūšu pārbaude, kas ietaupa stundu.

Tad divi ceļi. VPN klientam ir vajadzīgs maršruts uz pārvaldības tīklu, kas parasti nozīmē, ka klienta AllowedIPs vai uzstumtie maršruti ietver šo apakštīklu. Hipervizoram vai tā noklusējuma vārtejai ir vajadzīgs atgriešanās ceļš uz klientu adrešu kopu, ja vien dizains ieejā apzināti netulko avotu. Tie ir divi atsevišķi fakti, un jebkura trūkums rada to pašu taimautu. Pārbaudiet tos atsevišķi: ip route get 192.168.10.20 klientā un ieraksts hipervizora resursdatorā, kas parāda, vai pakete vispār ieradās.

Atļaujiet faktisko attālināto administratoru

Autorizācija ir atsevišķs jautājums no sasniedzamības. Izmantojiet vārtejas un resursdatora politiku, kas ierobežota ar avotiem un pakalpojumiem, kuriem nepieciešama pārvaldības piekļuve. Viesa VPN kontam, kuram nepieciešama viena laboratorijas lietotne, nevajadzētu ar to sasniegt pārvaldības plakni, un plakana kārtula, kas atļauj visu tuneļa apakštīklu, ir veids, kā tas notiek.

Atstājiet ieslēgtu paša hipervizora autentifikāciju un sertifikātu pārbaudes. Privāts maršruts nav iemesls izlaist neparedzētu identitātes brīdinājumu.

Brīdinājumu ir vērts uztvert kā atradumu, nevis kā šķērsli. Ja sertifikāts neatbilst izmantotajam nosaukumam, vai nu nosaukums ir nepareizs, vai pakalpojums nav tas, ko domājat, un abas atbildes pārvaldības saskarnē nozīmē vairāk nekā jebkur citur. Sasniedziet lapu ar nosaukumu, kuram sertifikāts tika izsniegts, un ļaujiet DNS šo nosaukumu norādīt uz tuneļa adresi. Privāts nosaukums, kas starp LAN un tuneli tiek atrisināts nekonsekventi, ir biežs sertifikātu sūdzību cēlonis, kas izskatās kā VPN kļūmes.

Pārbaudiet sekundāros savienojumus

Dažas funkcijas izmanto savienojumus, ko tīmekļa lapa neizmanto. Konsoles sesija, ISO augšupielāde, VNC vai SPICE starpniekserveris un migrācijas kanāls katrs var izmantot citu portu vai citu resursdatora adresi. Kad lapa ielādējas un viena funkcija neizdodas, lasiet šī produkta prasību, nevis atveriet katru portu resursdatorā.

Visu atvēršana ir veids, kā pārvaldības saskarne kļūst nepārvaldīta. Katrs papildu ports ir vēl viens klausītājs, kas jāuztur atjaunināts, un hipervizors jau atklāj pietiekami daudz. Nosakiet konkrēto savienojumu, kas funkcijai nepieciešams, apstipriniet, ka tas ir sasniedzams caur tuneli, un atstājiet pārējos aizvērtus. Ja funkcija uzstāj uz tiešu savienojumu ar resursdatora adresi, kas nav maršrutējama caur jūsu tuneli, tas ir dizaina ierobežojums, kas apzināti jāapiet, nevis iemesls pārsūtīt diapazonu.

Saglabājiet atgriešanās ceļu, pirms aiztiecat tīklu

Pirms maināt virtuālo tīklu, kas pārvadā jūsu pašu VPN, apstipriniet, ka jums ir vietējs vai neatkarīgs atgriešanās ceļš.

Tas vissvarīgāk ir mājas laboratorijā, jo VPN galapunkts bieži ir virtuālā mašīna tieši tajā hipervizorā, kuru mēģināt sasniegt. Virtuālā komutatora, tilta vai ugunsmūra kārtulas maiņa attālināti var noņemt ceļu, ko izmantojat, un sesija var izdzīvot pietiekami ilgi, lai to redzētu notiekam.

Pārbaudiet no laboratorijas ārpuses, nevis no LAN, un pārbaudiet atteikumus tāpat kā atļaujas. Tīklam, kam jāpaliek nesasniedzamam no tuneļa, jāpaliek tādam arī pēc jūsu izmaiņām, un tas ir atsevišķs apgalvojums no pārvaldības lapas ielādes. Pierakstiet abus rezultātus, jo otrais ir tas, ko izlaiž, un tas, kam ir nozīme, kad laboratorija aug.

Saglabājamais ieraksts ir īss: pārvaldības adrese un pakalpojums, maršruts, kas nepieciešams katrai pusei, identitātes, kurām atļauts sasniegt, un atkopšanas ceļš. Ar to pietiek, lai nākamā persona atveidotu darba stāvokli, to no jauna neatvasinot.

Ja lapa pēc visa tā joprojām nokļūst līdz taimautam, veiciet ierakstu hipervizorā un meklējiet paketi, pirms maināt vēl vienu kārtulu. Pakete, kas nekad neierodas, ir maršrutēšanas vai ugunsmūra jautājums; pakete, kas ierodas un tiek noraidīta, ir pakalpojuma vai politikas jautājums; pakete, kas ierodas un saņem atbildi, kamēr klients gaida, ir atgriešanās ceļa jautājums. strongSwan pārsūtīšanas dokumentācija skaidro, kā Linux vārteja pārsūta tuneļa datplūsmu uz iekšēju resursdatoru. Trīs ieraksti pārspēj vēl vienu minējumu.