Хипервизор во домашната лабораторија недостапен преку VPN: каде да се погледне

Тунелот се крева, веб-страницата на хипервизорот истекува, а клиентот вели дека е поврзан. Таа комбинација исклучува изненадувачки многу: VPN-ракувањето работи, клиентот има адреса и крајната точка е достапна. Она што останува е краток список прашања за рутирање и политика и тие имаат природен ред. Работете ги од хипервизорот кон надвор, а не од клиентот кон внатре, бидејќи сопствената состојба на хипервизорот е најевтиното нешто што сѐ уште може да се потврди.

Започнете со сегментот за управување

Потврдете ја адресата за управување на хипервизорот и услугата што слуша на неа и потврдете дека страницата се вчитува од друг домаќин во тој сегмент пред да дијагностицирате нешто на далечина. Локален тест што не успева не е VPN-проблем и тоа е петминутна проверка што заштедува еден час.

Потоа двете патеки. VPN-клиентот има потреба од рута до мрежата за управување, што обично значи дека AllowedIPs на клиентот или турнатите рути ја вклучуваат таа подмрежа. Хипервизорот или неговиот стандарден портал има потреба од повратна патека до базенот со адреси на клиентите, освен ако дизајнот намерно не го преведува изворот на влезот. Тоа се два одделни факти и недостигот на кој било од нив го дава истиот истек. Проверете ги одделно: ip route get 192.168.10.20 на клиентот и снимање на домаќинот на хипервизорот што покажува дали пакетот воопшто пристигнал.

Дозволете го вистинскиот далечински администратор

Овластувањето е одделно прашање од достапноста. Користете политика на порталот и домаќинот ограничена на изворите и услугите на кои им треба пристап за управување. Гостинска VPN-сметка на која ѝ треба една лабораториска апликација не треба поради тоа да стигне до рамнината за управување, а рамно правило што ја прифаќа целата подмрежа на тунелот е начинот на кој тоа се случува.

Држете ја вклучена сопствената автентикација на хипервизорот и проверките на сертификатот. Приватната рута не е причина да се кликне низ неочекувано предупредување за идентитет.

Вреди предупредувањето да се третира како наод, а не како пречка. Ако сертификатот не се совпаѓа со името што сте го користеле, или името е погрешно или услугата не е таа што ја мислите, и двата одговора се поважни на интерфејсот за управување отколку каде било на друго место. Стигнете до страницата со името за кое е издаден сертификатот и оставете DNS да го насочи тоа име кон адресата на тунелот. Приватно име што се решава недоследно помеѓу LAN и тунелот е честа причина за поплаки за сертификат што изгледаат како VPN-дефекти.

Проверете ги секундарните врски

Некои функции користат врски што веб-страницата не ги користи. Конзолна сесија, прикачување на ISO, VNC или SPICE прокси и канал за миграција можат секој да користат различен порт или различна адреса на домаќин. Кога страницата се вчитува, а една функција не успева, прочитајте го барањето на тој производ наместо да го отворите секој порт на домаќинот.

Отворањето на сѐ е начинот на кој интерфејсот за управување станува неуправуван. Секој дополнителен порт е уште еден слушател што треба да се одржува, а хипервизорот веќе открива доволно од нив. Определете ја конкретната врска што ѝ е потребна на функцијата, потврдете дека е достапна преку тунелот и оставете го остатокот затворен. Ако функцијата инсистира на директна врска со адреса на домаќин што не може да се рутира преку вашиот тунел, тоа е дизајнерско ограничување што треба намерно да се заобиколи, а не причина да се пренасочи опсег.

Задржете повратен пат пред да го допрете мрежниот

Пред да ја промените виртуелната мрежа што го носи вашиот сопствен VPN, потврдете дека имате локален или независен повратен пат.

Ова е најважно во домашна лабораторија, бидејќи крајната точка на VPN често е виртуелна машина на токму тој хипервизор што се обидувате да го достигнете. Менувањето на виртуелен прекинувач, мост или правило на огнениот ѕид на далечина може да ја отстрани патеката што ја користите, а сесијата може да преживее доволно долго за да го видите тоа.

Тестирајте од надвор од лабораторијата, а не од LAN, и проверете ги одбивањата како и дозволите. Мрежата што треба да остане недостапна од тунелот треба да остане таква и по вашата промена, и тоа е одделно тврдење од вчитувањето на страницата за управување. Запишете ги двата резултата, бидејќи вториот е тој што се прескокнува и тој што е важен кога лабораторијата расте.

Записот што треба да се чува е краток: адресата и услугата за управување, рутата што ѝ е потребна на секоја страна, идентитетите што смеат да стигнат и патеката за обновување. Тоа е доволно следниот човек да ја репродуцира работната состојба без повторно да ја изведува.

Ако страницата и по сето тоа истекува, снимајте на хипервизорот и побарајте го пакетот пред да смените уште едно правило. Пакет што никогаш не пристигнува е прашање на рутирање или огнен ѕид; пакет што пристигнува и се одбива е прашање на услуга или политика; пакет што пристигнува и добива одговор додека клиентот чека е прашање на повратна патека. Документацијата на strongSwan за препраќање објаснува како Linux-портал го препраќа сообраќајот на тунелот до внатрешен домаќин. Три снимања победуваат уште една претпоставка.