Hipervisor makmal rumah tidak dapat dicapai melalui VPN: ke mana perlu dilihat

Tunnel naik, halaman web hipervisor tamat masa, dan klien berkata ia bersambung. Gabungan itu menyingkirkan banyak perkara: jabat tangan VPN berfungsi, klien mempunyai alamat, dan titik akhir boleh dicapai. Yang tinggal ialah senarai pendek soalan penghalaan dan dasar, dan ia mempunyai susunan semula jadi. Kerjakannya dari hipervisor ke luar dan bukan dari klien ke dalam, kerana keadaan hipervisor itu sendiri adalah perkara paling murah untuk disahkan.

Mulakan dengan segmen pengurusan

Sahkan alamat pengurusan hipervisor dan perkhidmatan yang mendengar padanya, dan sahkan halaman dimuatkan dari hos lain dalam segmen itu sebelum anda mendiagnosis apa-apa dari jauh. Ujian setempat yang gagal bukan masalah VPN, dan ia adalah pemeriksaan lima minit yang menjimatkan satu jam.

Kemudian dua laluan. Klien VPN memerlukan laluan ke rangkaian pengurusan, yang biasanya bermaksud AllowedIPs klien atau laluan yang ditolak merangkumi subrangkaian itu. Hipervisor, atau get laluan lalainya, memerlukan laluan balik ke kumpulan alamat klien, melainkan reka bentuk sengaja menterjemah sumber pada kemasukan. Itu dua fakta berasingan dan kekurangan mana-mana satu menghasilkan tamat masa yang sama. Periksanya secara berasingan: ip route get 192.168.10.20 pada klien, dan tangkapan pada hos hipervisor yang menunjukkan sama ada paket itu tiba.

Benarkan pentadbir jauh yang sebenar

Kebenaran ialah soalan berasingan daripada kebolehhantaran. Gunakan dasar get laluan dan hos terhad kepada sumber dan perkhidmatan yang memerlukan akses pengurusan. Akaun VPN tetamu yang memerlukan satu aplikasi makmal tidak sepatutnya sampai ke satah pengurusan, dan peraturan rata yang menerima seluruh subrangkaian tunnel ialah cara itu berlaku.

Biarkan pengesahan hipervisor sendiri dan pemeriksaan sijil kekal hidup. Laluan peribadi bukan alasan untuk mengklik melalui amaran identiti yang tidak dijangka.

Amaran itu wajar dianggap sebagai penemuan dan bukan halangan. Jika sijil tidak sepadan dengan nama yang anda gunakan, sama ada namanya salah atau perkhidmatannya bukan yang anda fikirkan, dan kedua-dua jawapan lebih penting pada antara muka pengurusan daripada di tempat lain. Capai halaman dengan nama sijil itu dikeluarkan, dan biarkan DNS menunjuk nama itu ke alamat tunnel. Nama peribadi yang diselesaikan secara tidak konsisten antara LAN dan tunnel ialah punca biasa aduan sijil yang kelihatan seperti kerosakan VPN.

Periksa sambungan sekunder

Sesetengah ciri menggunakan sambungan yang tidak digunakan oleh halaman web. Sesi konsol, muat naik ISO, proksi VNC atau SPICE dan saluran migrasi masing-masing boleh menggunakan port berbeza atau alamat hos berbeza. Apabila halaman dimuatkan dan satu ciri gagal, baca keperluan produk itu dan bukannya membuka setiap port pada hos.

Membuka semuanya ialah cara antara muka pengurusan menjadi antara muka yang tidak diurus. Setiap port tambahan ialah pendengar lain yang perlu ditampal, dan hipervisor sudah mendedahkan cukup banyak. Kenal pasti sambungan khusus yang diperlukan ciri itu, sahkan ia boleh dicapai melalui tunnel, dan biarkan selebihnya tertutup. Jika ciri itu berkeras mahukan sambungan terus ke alamat hos yang tidak boleh dihalakan melalui tunnel anda, itu kekangan reka bentuk yang perlu dielakkan dengan sengaja, bukan alasan untuk memajukan julat.

Kekalkan jalan balik sebelum menyentuh rangkaian

Sebelum menukar rangkaian maya yang membawa VPN anda sendiri, sahkan anda mempunyai jalan balik setempat atau bebas.

Ini paling penting dalam makmal rumah, kerana titik akhir VPN selalunya mesin maya pada hipervisor yang sama yang anda cuba capai. Menukar suis maya, jambatan atau peraturan tembok api dari jauh boleh membuang laluan yang anda gunakan, dan sesi itu mungkin bertahan cukup lama untuk melihatnya berlaku.

Uji dari luar makmal dan bukan dari LAN, dan sahkan penolakan sebagaimana kebenaran. Rangkaian yang sepatutnya kekal tidak dapat dicapai dari tunnel harus kekal begitu selepas perubahan anda, dan itu penegasan berasingan daripada halaman pengurusan dimuatkan. Catat kedua-dua hasil, kerana yang kedua itulah yang terlepas dan yang penting apabila makmal berkembang.

Rekod yang perlu disimpan adalah pendek: alamat dan perkhidmatan pengurusan, laluan yang diperlukan setiap pihak, identiti yang dibenarkan mencapai, dan laluan pemulihan. Itu cukup untuk orang seterusnya menghasilkan semula keadaan berfungsi tanpa menerbitkannya semula.

Jika halaman masih tamat masa selepas semua itu, tangkap pada hipervisor dan cari paket sebelum menukar peraturan lain. Paket yang tidak pernah tiba ialah soalan penghalaan atau tembok api; paket yang tiba dan ditolak ialah soalan perkhidmatan atau dasar; paket yang tiba dan dijawab sementara klien menunggu ialah soalan laluan balik. Dokumentasi pemajuan strongSwan menerangkan bagaimana get laluan Linux memajukan trafik tunnel ke hos dalaman. Tiga tangkapan mengalahkan satu lagi tekaan.