VPN на гостин и VPN на домаќин: која рута навистина победува

Два клиента работат истовремено, секој уверен дека ја поседува стандардната рута, а симптомот доаѓа како нешто чудно: една апликација на гостинот работи, друга се решава на погрешно место. VPN внатре во гостин и VPN на домаќинот можат да постојат заедно, но само кога надворешната патека и внатрешната политика се согласуваат за тоа кој што носи. Стартувањето на двете само по себе не создава синџир. Прво запишете го приклучувањето, потоа менувајте едно нешто истовремено.

Прво запишете го приклучувањето на гостинот

Гостинот стигнува до својот VPN сервер по патеката што му ја дал хипервизорот: NAT зад домаќинот, мост до физичкиот сегмент или мрежа само за домаќинот со рутирање додадено одозгора. Секое приклучување менува што гостинот може да види и што домаќинот може да направи со неговиот сообраќај. Под NAT пакетите на гостинот изгледаат како да доаѓаат од домаќинот, па сопствениот тунел на домаќинот може да ги носи без гостинот да знае ништо за тоа. Под мост гостинот има свое присуство на сегментот и своја стандардна порта.

Запишете го приклучувањето пред да допрете која било конфигурација, заедно со тоа кој клиент треба да носи која апликација. Таа реченица ги решава повеќето вакви случаи, бидејќи двата клиента обично се изградени врз различни претпоставки. Гостин од кој се очекува да го користи тунелот на домаќинот не смее да има и своја конкурентска стандардна рута.

Следете ја крајната точка на гостинот нанадвор

VPN на гостин му треба употреблива патека до својот сервер пред да може да работи нешто друго. Кога тунелот на домаќинот е кренат и гостинот седи зад NAT, ракувањето на гостинот излегува низ тунелот на домаќинот, што е или дизајнот или несреќа што никој не ја документирал. Кога тунелот на домаќинот паѓа и гостинот зависел од него, гостинот ја губи поврзаноста без ниту една промена на неговата страна. Следењето на крајната точка нанадвор ви кажува кој од тие два случаи навистина го имате.

Широка рута во кој било контекст фаќа сообраќај што го очекувал другиот клиент. Рута 0.0.0.0/0 внатре во гостинот и клиент на домаќинот со полн тунел и двајцата бараат сѐ, а победува онаа што се применува последна. Преклопувањата меѓу виртуелните мрежи на гостинот, локалната LAN и оддалечените мрежи го даваат истиот ефект за приватни префикси, со дефекти што личат на проблеми со автентикација; однесувањето на преводот на адреси е истото опишано за мрежите на контејнерите.

Споредете запис пред и по

Земете основна линија со исклучен тунел на домаќинот, или во која било контролирана состојба што ја дозволува вашата политика, и запишете ја рутата и решавачот на гостинот. Потоа примените ја комбинираната конфигурација и споредете ги двата записа, запазувајќи ги барањата за приватност. Ако директната основна линија не е соодветна, запишете го тоа ограничување во записот наместо да го прескокнете споредувањето.

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

Прашањето за рута го именува интерфејсот и изворната адреса што би носеле одредено одредиште, и ова е сѐ уште најкорисниот ред во оваа истрага. Списокот со правила покажува дали рутирањето по политика испраќа некои одредишта низ втора табела. Излезот на решавачот покажува дали DNS го следел тунелот на гостинот или останал на патеката на домаќинот. Извршете ги истите три команди пред и по промената, и разликата ќе го именува виновникот.

Одржете го сопственоштвото јасно низ рестартирања

Ограничувањето на локалниот пристап на клиентот на домаќинот може да го блокира сообраќајот до виртуелен NAT или мост, и тоа ограничување редовно се меша со проблем со акредитивите на гостинот. Прочитајте го документираното однесување на клиентот наместо да го исклучите ограничувањето за да помине тест. По поддржана исправка, повторно тестирајте ја апликацијата на гостинот и политиката за дефект што ја барате. Домаќин што успешно се поврзува повторно не докажува ништо за рутата или решавачот на гостинот.

Одлучете која страна ја поседува стандардната рута и запишете го тоа во оперативниот прирачник. Рестартирање на гостинот или промена на мрежата на домаќинот што тивко го превртува сопственоштвото создава извештај за грешка за VPN што никогаш не бил виновен. Распоредот треба да го преживее рестартирањето без никој да се сеќава зошто работел.