Таны VM хостны VPN-г ашиглаж байна уу? Зочны дотроос шалгаарай

Та хостны нийтийн IP-г шалгаж, тэнд VPN харагдаж байгаа тул VM хамгаалагдсан гэж дүгнэнэ. Энэ дүгнэлтийг шалгалт батлахгүй. Зочин өөрийн гэсэн маршрутын хүснэгт, өөрийн гэсэн резолвер, өөрийн гэсэн интерфейстэй, хостны гарах хаяг тэдний талаар юу ч хэлэхгүй.

Шалгалт зочны дотор явагдах ёстой бөгөөд юу хэмжсэнээ нэрлэх ёстой.

Хостны хөтчөөс биш, зочны дотроос эхлээрэй

Эхлээд гипервизорын сүлжээний горимыг тэмдэглэ: NAT, bridged, host-only эсвэл macvtap. NAT горимд хост зочны трафикийг маршрутладаг тул клиент маршрутуудыг хэрхэн суулгахаас хамаарч хостны туннель үйлчлэх эсвэл үйлчлэхгүй байж болно. Bridged горимд зочин физик LAN-ийн тэнцүү гишүүн бөгөөд хостны туннель хамаагүй. Эдгээр хоёр горим нэг хостны тохиргооноос эсрэг хариулт өгдөг.

Ямар нэгэн зүйлийг өөрчлөхөөс өмнө горимыг бичиж аваарай, учир нь үр дүн юу гэсэн үг болохыг яг тэр тодорхойлно.

Очих газар нь мэдэгдэх нэг хүсэлт явуул

Өөрийн харсан эх хаягийг мэдээлдэг үйлчилгээ рүү хор хөнөөлгүй хүсэлт явуул. Дараа нь тухайн очих газрын хувьд зочны өөрийн маршрутлалтын шийдвэрийг шалга: ip route get 203.0.113.5 зочны ашиглах интерфейс болон гарцыг хэвлэнэ.

Хэрэв интерфейс нь зочны ердийн NIC бол трафик зочны доторх туннелээр явахгүй.

Хоёр дахь адаптер, прокси тохиргоо эсвэл зочны талын VPN клиент нэг аппликейшны хариултыг өөрчилж, нөгөөд нь өөрчлөхгүй байж болно. Shell-ээс гаргасан ерөнхий хүсэлт биш, танд үнэхээр чухал аппликейшныг шалга.

Резолверыг тусдаа шалга

Өөрчлөгдсөн гарах хаяг тухайн хост нэрийг аль резолвер боловсруулсныг хэлэхгүй. Платформд тохирох хэрэгслээр нэрийг тодорхой асууж, аль сервер хариулсныг тэмдэглэ. Split DNS гэдэг нь резолверын асуулт болон маршрутлалтын асуулт өөр өөр хариулттай байхыг хэлнэ.

Тэр хоёр аль ч чиглэлд зөрж болох бөгөөд тэр зөрүү нь ихэвчлэн жинхэнэ алдаа байдаг.

systemd хост дээр resolvectl query хариултын ард байгаа интерфейс болон DNS серверийг нэрлэнэ. Хуучин тохиргоонууд серверийг dig гаралтад харуулдаг. Аль ч тохиолдолд гол нь хариулт ирсэн эсэх биш, аль сервер хариулсан болохыг харах юм.

Зөвхөн амжилт биш, бүтэлгүйтлийн бодлогыг шалга

Хэрэв туннелээс гадагш ямар ч трафик гарахгүй байх шаардлагатай бол амжилттай хүсэлт юу ч нотлохгүй. Клиентийн дэмждэг хяналттай бүтэлгүйтлийн шалгалтыг ашигла: туннелийг дэмжигдсэн аргаар зогсоож, зочны шинэ хүсэлт блоклогдож байгаа эсэхийг хар. Хост клиентийн kill switch бүх виртуал дамжуулалтын зохицуулалтыг хамардаг гэж битгий бод. Түүний баримтжуулсан хүрээ л таны найдаж болох зүйл.

Туннель унасан үед физик NIC руу буцаж буй зочин NAT горим зөвшөөрч байгаа яг тэр үйлдлийг хийж байна.

Горим болон хүрээг тэмдэглэ

Гипервизорын горим, зочны интерфейс болон маршрут, резолвер, шалгасан аппликейшныг бич. Огноог нэм, учир нь snapshot сэргээх эсвэл гипервизор шинэчлэх нь бүгдийг өөрчилж болно.

Хэрэв IPv4 туннелийг дагасан бол тэгж хэл. Энэ мэдэгдлийг IPv6, өөр namespace эсвэл өөр сүлжээний өөр VM руу бүү өргөтгө.