Дали Hyper-V виртуелна машина го користи VPN-от на домаќинот? Зависи од прекинувачот

Инсталирајте VPN клиент на домаќинот Hyper-V, отворете таму прелистувач и излезната адреса се менува; отворете ја истата страница во виртуелната машина и таа може да ја покаже старата адреса или воопшто ништо. Вообичаениот заклучок е дека виртуелната машина е расипана или дека мора да се вклучи поделен тунел. Ниту едното не следи. VPN клиентот не е својство на машината; тој е збир на рути, виртуелен адаптер и често филтер поврзан со конкретни интерфејси. Дали гостинскиот сообраќај некогаш ќе се сретне со тој механизам зависи од виртуелниот прекинувач што го користи гостинот.

Митот, кажан директно

Верувањето е дека VPN инсталиран на домаќинот ја штити целата машина, вклучително виртуелните машини, бидејќи виртуелната машина е само процес што работи на таа машина. Тоа е удобно верување, бидејќи антивирусот и ѕидовите на домаќинот обично така се однесуваат. Мрежните патишта не.

Рамката на гостинот ја допира VPN стекот на домаќинот само ако домаќинот ја насочува или филтрира. Препишете ја таа реченица на леплива белешка, бидејќи секој случај подолу е нејзина варијанта.

Три типа прекинувачи, три патишта

Надворешен прекинувач поврзува виртуелен адаптер со физичка мрежна карта, а гостинот испраќа рамки преку таа врска со сопствена MAC адреса. Гостинот станува рамноправен на физичката мрежа, со сопствен DHCP закуп, порта и DNS сервери. Стандардната рута на VPN-от на домаќинот живее во стекот на домаќинот и не ги поместува тие рамки, бидејќи тие се премостуваат, а не се насочуваат низ домаќинот. Затоа и надворешен прекинувач над Wi-Fi адаптер е лоша идеја: повеќето безжични драјвери не пренесуваат рамки за втора MAC адреса.

Внатрешен прекинувач ги поврзува гостите со виртуелен адаптер на домаќинот. Сам по себе не дава излез на интернет; NAT објект на домаќинот обезбедува превод, како што е опишано во Hyper-V NAT водичот. Сега пакетите на гостинот навистина влегуваат во насочувањето и NAT патеката на домаќинот, па рутите и филтрите на VPN клиентот повторно се важни. Ова е поставеноста во која виртуелната машина навистина го следи VPN-от на домаќинот и во која kill switch може целосно да го отсече гостинот.

Приватен прекинувач нема адаптер на домаќинот и нема нагорна врска. Гостите разговараат меѓу себе и со ништо друго, па ако виртуелна машина на приватен прекинувач нема интернет, рутерот што недостасува е причината, а VPN-от е неважен.

Стандардниот прекинувач е посебна поставеност

Windows доставува стандарден прекинувач што комбинира внатрешен прекинувач со NAT и DNS прокси. Неговата подмрежа ја избира домаќинот, таа може да се промени по рестартирања и не е истиот објект како NAT мрежата што ја создавате сами. Неговото повторно градење како лабораториска мрежа е начинот на кој луѓето завршуваат со два NAT-а и гостин кој сѐ уште нема рута.

Ако виртуелната машина е на стандардниот прекинувач, прочитајте ја адресата што ја добил гостинот и споредете ја со NAT табелата на домаќинот пред да го допрете VPN клиентот. Несовпаѓањето меѓу портата на гостинот и NAT префиксот објаснува повеќе дефекти од која било поставка на клиентот.

Четири факти што го решаваат прашањето

Соберете ги овие пред да промените нешто: типот на прекинувачот и неговата нагорна врска, адаптерот поврзан со виртуелната машина, сопствената адреса, портата и DNS на гостинот, како и состојбата на NAT-от и стандардната рута на домаќинот. Командите само за читање се Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat, и Get-NetRoute -DestinationPrefix 0.0.0.0/0; а внатре во гостинот ipconfig /all го дава остатокот.

Потоа одлучете што треба да направи гостинот. Ако треба да остане надвор од VPN-от, добијте го поддржаниот исклучок на давателот токму за таа патека, бидејќи исклучувањето на извршна датотека на домаќинот не го ослободува проследениот сообраќај на виртуелната машина. Ако треба да го користи VPN-от, потврдете го документираното постапување на клиентот со сообраќајот на виртуелни машини, наместо да претпоставите дека тестот во прелистувачот на домаќинот го покрива тоа.

Тестот внатре во гостинот е единствениот доказ што се смета. Проверете ја излезната адреса од гостинот, разрешете внатрешно име, повторно поврзете го VPN-от и повторете. Резултатот од прелистувачот на домаќинот не заменува ништо од тоа.

Што чини митот

Луѓето го исклучуваат kill switch, додаваат статични рути или ги бришат и повторно создаваат прекинувачите само за тестот да помине. Секој кратенка го менува режимот на дефект: гостинот може да стигне до интернет по пат што никој не го предвидел, или домаќинот може да ја изгуби врската кога надворешен прекинувач повторно ја поврзува неговата физичка карта.

Повторното поврзување на надворешен прекинувач го прекинува сопствениот пристап на домаќинот, затоа држете отворена вонопсежна патека и избегнувајте бришење прекинувачи додека сѐ уште дијагностицирате. Правилниот резултат е предвидената патека на гостинот, вклучително како се поврзува повторно и како не успева, а не зелена ознака од едно вчитување на страница.

Трајниот одговор е една линија за секоја виртуелна машина во пописот: кој прекинувач го користи и која компонента ја обезбедува неговата порта. Кога тоа е запишано, следната промена на VPN-от е пребарување, а не попладне со претпоставки.