VPN tetamu dan VPN hos: laluan mana yang benar-benar menang

Dua klien berjalan serentak, masing-masing yakin ia memiliki laluan lalai, dan simptomnya datang sebagai sesuatu yang pelik: satu aplikasi tetamu berfungsi, satu lagi diselesaikan ke tempat yang salah. VPN di dalam tetamu dan VPN pada hos boleh wujud bersama, tetapi hanya apabila laluan luar dan dasar dalaman bersetuju tentang siapa membawa apa. Memulakan kedua-duanya tidak mencipta rantaian dengan sendirinya. Catat lampiran dahulu, kemudian ubah satu perkara pada satu masa.

Catat lampiran tetamu dahulu

Tetamu mencapai pelayan VPN-nya melalui laluan yang diberikan oleh hypervisor: NAT di belakang hos, jambatan ke segmen fizikal atau rangkaian khusus hos dengan penghalaan ditambah di atasnya. Setiap lampiran mengubah apa yang boleh dilihat oleh tetamu dan apa yang boleh dilakukan oleh hos terhadap trafiknya. Di bawah NAT paket tetamu kelihatan datang dari hos, jadi terowong hos sendiri boleh membawanya tanpa tetamu mengetahui apa-apa. Di bawah jambatan tetamu mempunyai kehadirannya sendiri pada segmen dan get laluan lalainya sendiri.

Catat lampiran sebelum menyentuh sebarang konfigurasi, bersama-sama dengan klien mana yang sepatutnya membawa aplikasi mana. Ayat itu menyelesaikan kebanyakan kes ini, kerana kedua-dua klien biasanya dibina atas andaian yang berbeza. Tetamu yang dijangka menggunakan terowong hos tidak boleh juga mempunyai laluan lalai pesaingnya sendiri.

Jejaki titik akhir tetamu ke luar

VPN tetamu memerlukan laluan yang boleh digunakan ke pelayannya sendiri sebelum apa-apa lagi boleh berfungsi. Apabila terowong hos aktif dan tetamu berada di belakang NAT, jabat tangan tetamu keluar melalui terowong hos, yang sama ada reka bentuk atau kemalangan yang tiada siapa mendokumenkannya. Apabila terowong hos jatuh dan tetamu bergantung padanya, tetamu kehilangan sambungan tanpa satu pun perubahan di sisinya. Menjejaki titik akhir ke luar memberitahu anda yang mana antara kedua-duanya benar-benar ada pada anda.

Laluan luas dalam mana-mana konteks menangkap trafik yang dijangka oleh klien lain. Laluan 0.0.0.0/0 di dalam tetamu dan klien hos dengan terowong penuh kedua-duanya menuntut segala-galanya, dan yang terpakai terakhir menang. Pertindihan antara rangkaian maya tetamu, LAN tempatan dan rangkaian jauh menghasilkan kesan yang sama untuk awalan peribadi, dengan kegagalan yang menyerupai masalah pengesahan; tingkah laku terjemahan alamat adalah yang sama seperti yang diterangkan untuk rangkaian kontena.

Bandingkan rekod sebelum dan selepas

Ambil garis dasar dengan terowong hos dimatikan, atau dalam mana-mana keadaan terkawal yang dibenarkan oleh dasar anda, dan catat laluan dan penyelesai tetamu. Kemudian gunakan konfigurasi gabungan dan bandingkan kedua-dua rekod, dengan keperluan privasi kekal utuh. Jika garis dasar langsung tidak sesuai, tuliskan had itu dalam rekod dan bukannya melangkau perbandingan.

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

Pertanyaan laluan menamakan antara muka dan alamat sumber yang akan membawa destinasi tertentu, dan itulah baris paling berguna dalam siasatan ini. Senarai peraturan menunjukkan sama ada penghalaan dasar menghantar sesetengah destinasi melalui jadual kedua. Output penyelesai menunjukkan sama ada DNS mengikut terowong tetamu atau kekal pada laluan hos. Jalankan tiga arahan yang sama sebelum dan selepas perubahan, dan perbezaannya akan menamakan pesalah.

Kekalkan pemilikan jelas merentas permulaan semula

Sekatan akses tempatan klien hos boleh menyekat trafik ke NAT maya atau jambatan, dan sekatan itu sering disalah anggap sebagai masalah kelayakan tetamu. Baca tingkah laku klien yang didokumenkan dan bukannya melumpuhkan sekatan itu supaya ujian lulus. Selepas pembetulan yang disokong, uji semula aplikasi tetamu dan dasar kegagalan yang anda perlukan. Hos yang berjaya menyambung semula tidak membuktikan apa-apa tentang laluan atau penyelesai tetamu.

Putuskan pihak mana yang memiliki laluan lalai dan tuliskan itu dalam buku panduan operasi. Permulaan semula tetamu atau pertukaran rangkaian pada hos yang membalikkan pemilikan secara senyap menghasilkan laporan pepijat tentang VPN yang tidak pernah bersalah. Susunan itu sepatutnya bertahan melalui but semula tanpa sesiapa mengingati mengapa ia berkesan.