VirtualBox NAT-ийн ард зочны VPN яагаад ажиллахгүй байна вэ?

Виртуал машин доторх хөтөч ажиллаж байна, харин мөн зочинд байгаа VPN клиент өгөгдөл дамжуулж чадахгүй байна. Зочид холболт байгаа нь тодорхой, тиймээс алдаа нь VPN-ийн гадаад протоколд юу хэрэгтэй, виртуал NAT юуг дамжуулах вэ гэдэгт байна. Үр дүнг гурван нөхцөл шийднэ: аль процесс VPN-ийг эзэмшиж байна, гадаад солилцоо утсан дээр хэрхэн харагдаж байна, адаптерын горим таны бодож байгаа горим мөн үү. Өөрчилж болох нөхцөлийг нэрлэх нь бүх шийдвэр юм.

Сүлжээг буруутгахаас өмнө VPN процессыйг ол

Эхлээд VPN зочны дотор эсвэл хост дээр ажиллаж байгааг шийдээрэй, учир нь хоёр зохион байгуулалт өөр өөрөөр бүтэлгүйтдэг. Зочны доторх клиент өөрийн гадаад холболтыг зочны адаптер болон түүний ард байгаа ямар ч орчуулгаар барьдаг. Хост VPN зочны трафикийг хостын болон гипервизорын бодлогын дагуу барьдаг бөгөөд энэ нь өөрийн дүрэмтэй тусдаа барих цэг юм. Тэд нэгэн зэрэг ажиллаж нотолгоог төөрөгдүүлж болзошгүй тул аль нэгэнд нь хүрэхээс өмнө энэ трафикийг аль нь дамжуулах ёстойг тодорхойл.

Юу ч өөрчлөхөөс өмнө зочны адаптерын горимыг одоо бичиж ав. Тэр нэг утга дараагийн ихэнхийг тайлбарлаж, дараа нь хэн ч чамаас хамгийн түрүүнд түүнийг асуух болно.

Гадаад солилцоо тохиромжтой байдлыг шийднэ

VirtualBox-ийн сүлжээний гарын авлага энд чухал NAT хязгаарлалтуудыг жагсаав: TCP болон UDP-ээс бусад протоколыг дамжуулахгүй, GRE-ийг дэмжигдээгүй гэж нэрлэсэн, PPTP-ийг өртсөн жишээ болгон өгсөн. PPTP нь хяналтын солилцоонд TCP, өгөгдөлд GRE ашигладаг тул хяналтын холболт амжилттай болж болох боловч өгөгдлийн зам тэр хилээр гарч чадахгүй. Эдгээр нь хоёр өөр нотолгоо бөгөөд зөвхөн нэг нь трафик дамжуулах тухай юм. Галт ханын дүрэмд TCP порт 47-д зөвшөөрөл өгөх нь IP протокол 47-д зөвшөөрөл өгөхтэй адилгүй бөгөөд энэ хоёрыг байнга андуурдаг.

Хязгаарлалтыг NAT гэдэг үгийг хэрэглэдэг бүх төхөөрөмжид бус, энэ NAT зохион байгуулалтад холбож байлга. Физик чиглүүлэгч GRE-ийг гомдолгүй дамжуулж чадахын зэрэгцээ виртуал NAT түүнийг хаядаг, өөр гипервизор юу дамжуулахаа өөрөө шийддэг. Байгууллага TCP эсвэл UDP дотор зөвшөөрөгдсөн тээврийг санал болгодог бол тэр замын хувьд түүний дэмжигдсэн клиент болон профайлыг ашигла. Тохиромжтой байдал нь хэд хэдэн шаардлагын нэг бөгөөд энэ нь серверийн итгэл, бүртгэлийн зөвшөөрөл эсвэл ажиллаж буй хувийн замыг тогтоохгүй.

Гүүр яг юу өөрчлөх вэ

Гүүр зочны MAC хаягийг орчуулгын ард нуухын оронд физик сегментэд өгдөг. Дараа нь зочин тэр сегментэд үйлчилдэг аль ч DHCP серверээс хаяг авч, тэр хаягт ARP-аар хариулж, дээд сүлжүүрт дахин нэг порт мэт харагдана. Энэ нь виртуал орчуулгын замыг арилгадаг бөгөөд хуучин жор үүнийг санал болгох шалтгаан яг энэ, мөн тэр агшинд өөр гурван зүйлийг өөрчилдөг. Хаяглалт одоо гипервизороос бус, орон нутгийн сегментээс ирдэг, илрэл гэдэг нь зочин тэр сегментэд харагдана гэсэн үг, элсэлт нь сүлжүүрийн порт болон түүний бодлогоос хамаарна. Эдгээрийн аль нь ч өөрчлөлтийг татгалзах шалтгаан болж болох ба аль нь ч VPN протоколын тухай биш.

Гүүрлэлт нь дутуу залгаасыг суулгахгүй, хүрэхгүй нууц агентийг нийлүүлэхгүй, баталгаажуулалтын татгалзлыг засахгүй. Мөн хуучирсан протоколыг сайн сонголт болгохгүй, операторт засварлагдсан орлуулагч байвал шийдвэр нь гипервизорыг солих бус, яг тэр орлуулагч. Порт дамжуулалт нь огт гуравдахь үүрэг: энэ нь ирж буй үйлчилгээг нийтэлж, гарч буй клиентийн гадаад протоколд юу ч хийдэггүй.

Хоёр туннель, хоёр нотолгооны ул мөр

Зочны VPN-д ямар ч дотоод хаяг эсвэл хувийн зам чухал болохоос өмнө зочны интерфэйсээс түүний хамтрагч хүртэл ашиглах боломжтой зам хэрэгтэй. Хост VPN байгаа бол өөрийн бодлогоор тэр гадаад солилцоог дамжуулах эсвэл блоклож болох бөгөөд зочны дотоод туннель гадаад нь амжилттай болсны дараа л эхэлдэг. Аль ч давхаргын хамрах хүрээг нэг холбогдсон дүрс эсвэл хостын хөтчийн нийтийн хаягаас уншиж болохгүй.

Сүүлчийнх бус эхний алдааны мессежийг хадгал, учир нь хамгийн эртний бүтэлгүйтэл давхаргыг нэрлэдэг. Нэг удаад нэг дэмжигдсэн сүлжээний зохион байгуулалтыг өөрчил, ижил зочны профайл, ижил итгэмжлэлтэйгээр, харьцуулалт утга учиртай болохын тулд. Бүтэлгүйтлээс аль үе шат эвдэрснийг шийд: орон нутгийн интеграц, тээвэр, баталгаажуулалт эсвэл туннель боссны дараах нөөцийн хандалт. Эдгээрийн аль нь ч өөр эзэнтэй, зөвхөн нэг нь гипервизорын асуудал.

Ямар нөхцөл таныг үнэхээр хязгаарлаж байна

Одоо шийдвэр өөр өөр хариулттай гурван асуулт руу нарийсна. Хэрэв гадаад протокол TCP болон UDP-ээс гадна байвал NAT-ийн горим нь хязгаарлалт бөгөөд урагшлах зам нь гүүр эсвэл зөвшөөрөгдсөн TCP/UDP тээвэр. Хэрэв гадаад солилцоо дуусаж, өгөгдлийн зам дуусахгүй бол хязгаарлалт нь хоёр дахь нотолгоонд харагдсантай ижил. Хэрэв туннель босож, нөөц хариулахгүй бол асуудал аль хэдийн гипервизорыг давж чиглүүлэлт эсвэл бодлогод орсон.

Хариултыг адаптерын горимын хажууд бич, эс бөгөөс дараагийн хүн мөн тэр үдээс хойшийг давтана. Аливаа засварын дараа зочны дотор бодит програмыг болон нэрийн шийдлийг шалгаж, дараа нь дахин холбогдож, бүтэлгүйтлийн бодлогыг туршиж үз. Туннелээр ажиллаж буй вэб хуудас зөвхөн вэб зам ажиллаж байгааг нотолдог бөгөөд энэ нь тэр мөчид мэдрэгдэхээс бага мэдэгдэл юм.