VPN ieslēgts, VM nav sasniedzams? Maršruts, iespējams, nekad nav bijis problēma

Pievienojiet VPN, un izstrādes VM, kas atbildēja pirms minūtes, apklust. Acīmredzamais stāsts rakstās pats: tunelis paņēma maršrutu, resursdators tagad sūta viesa trafiku uz uzņēmuma tīklu, un risinājums ir pievienot statisku maršrutu vai pārslēgt adapteri uz tilta režīmu. Šis stāsts dažkārt ir patiess. Bet tas nav ierastais iemesls, un rīkošanās pēc tā vispirms parasti salauž ko citu.

Host-only tīkls ir programmatūras tīkls, kas pieder resursdatoram un tiek kopīgots ar tā viesiem, atsevišķi no jebkura fiziska savienojuma. Nekas paša VPN klienta saskarnē nemaina šo tīklu, tāpēc pirms tam pieskarties, noskaidrojiet, kurš no četriem slāņiem patiešām neizdevās.

Maršruts parasti joprojām ir lokāls

Jautājiet kodolam, nevis maršrutēšanas tabulas pirmajai lapai. Linux ip route get 192.168.56.10 ziņo precīzo maršrutu, saskarni un avota adresi, kas tiktu izmantoti, un tā ir cita atbilde nekā noklusējuma maršruta lasīšana un minēšana. Ja izvade nosauc host-only saskarni, tunelis šajā ceļā nemaz nepiedalās.

Divas lietas patiešām var to salauzt, un abas ir adrešu problēmas, nevis VPN problēmas. Attāls apakštīkls, kas pārklājas ar host-only prefiksu, liek uzvarēt konkrētākajam maršrutam, un VPN klients, kas instalē plašu maršrutu ar zemāku metriku, var prefiksu atraut. Abi ir redzami tajā pašā komandā: izvadē nosauktā saskarne būs tunelis, un labojums pieder tam, kuram pieder šis adrešu plāns.

Maršruta izvēle un pakešu pielaide ir divi dažādi lēmumi

Šī ir daļa, ko domāšanas modelis parasti izlaiž. Pat ar perfektu lokālu maršrutu VPN klients var noraidīt paketi. Daudzi klienti ievieš lokālā tīkla piekļuves politiku, kas nosaka, kuri galamērķi ir atļauti ārpus tuneļa, un pievienots apakštīkls šo sarakstu automātiski neatjaunina.

Tāpēc kļūme no lietotnes puses izskatās tieši kā maršrutēšanas problēma, bet no klienta puses — pilnīgi citādi. Ja ip route get nosauc pareizo saskarni un savienojums tomēr beidzas ar taimautu, pārtrauciet rediģēt maršrutus un tā vietā izlasiet klienta dokumentēto lokālās piekļuves uzvedību. Daži klienti piedāvā atļauto sarakstu lokālajiem apakštīkliem, citi bloķē visu, kas nav tunelis, bet vēl citi bloķē tikai tad, kad ir iespējots kill switch.

Šī atšķirība ir svarīga, jo labojumi nav savstarpēji aizstājami. Maršruta pievienošana nevar apmierināt filtru, un filtra izslēgšana, lai sasniegtu vienu viesi, ir daudz lielāks lēmums, nekā liecina simptoms.

Viesim ir trīs veidi, kā pateikt nē

Viesis, kas var pārlūkot internetu, nav pierādījis neko par pakalpojumu, ko vēlaties. Klausītājs var būt piesaistīts 127.0.0.1 viesa iekšienē, un tad neviens pieprasījums no resursdatora nevar ierasties, lai cik labs būtu ceļš. Pārbaudiet ar ss -ltn viesī un apskatiet lokālās adreses kolonnu, ne tikai portu.

Tālāk ir paša viesa ugunsmūris. Izstrādes attēls ar stingru noklusējumu var pieņemt resursdatora paketes un nomest tās pakalpojuma robežās, kas rada taimautu, kas izskatās tieši kā maršrutēšanas melnais caurums. Visbeidzot ir paša pakalpojuma konfigurācija: tīmekļa lietotne, kas piesaistīta konkrētam resursdatora vārdam, vai atļauto klientu adrešu saraksts atteiks pieprasījumu no host-only apakštīkla pat tad, kad katrs pakete ierodas.

Izejiet cauri šiem trim, pirms apsverat VM tīkla režīma maiņu. Katrs ir mazāks pakeitums nekā viesa savienojuma pārprojektēšana, un katram ir skaidrs tests.

Kas īsti ir tilts un cik tas maksā

Adaptera pārslēgšana uz tilta režīmu nav host-only ceļa labošana. Tas ir lēmums ievietot viesi citā tīklā, parasti fiziskajā LAN, kur tas kļūst redzams visam citam, kas tur dzīvo. Tas var būt tieši tas, ko vēlaties. Bet tas nav tas, ko darīja sākotnējā konfigurācija.

Izmantojiet to, kad viesim patiešām jābūt līdzvērtīgam dalībniekam šajā LAN un iedarbība ir apstiprināta. Neizmantojiet to tāpēc, ka viens pakalpojums pārstāja atbildēt, jo izmaiņas var izvest viesi no izolācijas, kas padarīja izstrādi pret to drošu.

Pēc katra apstiprinātā labojuma pārbaudiet noteiktā secībā: jauns pieprasījums no resursdatora uz viesi, nepieciešamais uzņēmuma resurss caur tuneli un paredzētā atteiktā uzvedība ar izslēgtu tuneli. Ja pēdējais vairs nav spēkā, labojums ir pārsniedzis problēmu.

VirtualBox host-only tīkla sadaļa apraksta resursdatora puses programmatūras saskarni un to, kā tā atšķiras no tilta savienojuma, un tas ir atsauce, ko ir vērts izlasīt, pirms pieņemt, ka abi režīmi ir savstarpēji aizstājami.