VPN dihidupkan, VM tidak dapat dicapai? Laluan itu mungkin tidak pernah menjadi masalah

Sambungkan VPN, dan VM pembangunan yang menjawab seminit lalu menjadi senyap. Kisah yang jelas menulis dirinya sendiri: terowong mengambil laluan itu, hos kini menghantar trafik tetamu ke rangkaian korporat, dan penyelesaiannya ialah menambah laluan statik atau menukar penyesuai ke mod jambatan. Kisah itu kadangkala benar. Tetapi ia bukan punca biasa, dan bertindak mengikutnya dahulu biasanya merosakkan sesuatu yang lain.

Rangkaian host-only ialah rangkaian perisian yang dimiliki oleh hos dan dikongsi dengan tetamunya, berasingan daripada sebarang sambungan fizikal. Tiada apa dalam antara muka klien VPN sendiri yang mengubah rangkaian itu, jadi sebelum menyentuhnya, ketahui lapisan mana daripada empat lapisan yang benar-benar gagal.

Laluan biasanya masih setempat

Tanya kernel dan bukan halaman depan jadual penghalaan. Pada Linux, ip route get 192.168.56.10 melaporkan laluan, antara muka dan alamat sumber yang tepat yang akan digunakan, iaitu jawapan yang berbeza daripada membaca laluan lalai dan meneka. Jika output menamakan antara muka host-only, terowong tidak terlibat sama sekali dalam laluan itu.

Dua perkara benar-benar boleh memecahkannya, dan kedua-duanya masalah alamat, bukan masalah VPN. Subnet jauh yang bertindih dengan awalan host-only membuat laluan yang lebih khusus menang, dan klien VPN yang memasang laluan luas dengan metrik lebih rendah boleh menarik awalan itu pergi. Kedua-duanya kelihatan dalam arahan yang sama: antara muka yang dinamakan dalam output akan menjadi terowong, dan pembetulannya milik sesiapa yang memiliki pelan alamat itu.

Pemilihan laluan dan penerimaan paket ialah dua keputusan berbeza

Inilah bahagian yang biasanya terlepas oleh model mental. Walaupun dengan laluan setempat yang sempurna, klien VPN boleh menolak paket itu. Banyak klien melaksanakan dasar akses rangkaian setempat yang menentukan destinasi mana yang dibenarkan di luar terowong, dan subnet yang disambungkan tidak mengemas kini senarai itu secara automatik.

Jadi kegagalan kelihatan sama seperti masalah penghalaan dari sisi aplikasi, dan sama sekali berbeza dari sisi klien. Jika ip route get menamakan antara muka yang betul tetapi sambungan masih tamat masa, berhenti menyunting laluan dan sebaliknya baca tingkah laku akses setempat klien yang didokumenkan. Sesetengah klien menyediakan senarai kebenaran untuk subnet setempat, yang lain menyekat semua yang bukan terowong, dan yang lain hanya menyekat apabila kill switch didayakan.

Perbezaan itu penting kerana pembetulannya tidak boleh ditukar ganti. Menambah laluan tidak dapat memenuhi penapis, dan melumpuhkan penapis untuk mencapai satu tetamu ialah keputusan yang jauh lebih besar daripada yang dicadangkan oleh gejala.

Tetamu mempunyai tiga cara untuk berkata tidak

Tetamu yang boleh melayari internet tidak membuktikan apa-apa tentang perkhidmatan yang anda mahu. Pendengar mungkin terikat pada 127.0.0.1 di dalam tetamu, dan dalam kes itu tiada permintaan daripada hos boleh tiba, sebaik apa pun laluannya. Semak dengan ss -ltn di dalam tetamu dan lihat lajur alamat setempat, bukan hanya port.

Seterusnya ialah tembok api tetamu itu sendiri. Imej pembangunan dengan nilai lalai yang ketat boleh menerima paket hos dan menggugurkannya di sempadan perkhidmatan, yang menghasilkan tamat masa yang kelihatan sama seperti lubang hitam penghalaan. Akhir sekali ialah konfigurasi perkhidmatan itu sendiri: aplikasi web yang terikat pada nama hos tertentu, atau senarai alamat klien yang dibenarkan, akan menolak permintaan daripada subnet host-only walaupun setiap paket tiba.

Lalui ketiga-tiganya sebelum mempertimbangkan untuk menukar mod rangkaian VM. Setiap satu ialah perubahan yang lebih kecil daripada mereka semula sambungan tetamu, dan setiap satu mempunyai ujian yang jelas.

Apakah jambatan sebenarnya, dan berapa kosnya

Menukar penyesuai ke mod jambatan bukan pembaikan laluan host-only. Ia adalah keputusan untuk meletakkan tetamu pada rangkaian lain, biasanya LAN fizikal, di mana ia menjadi kelihatan kepada segala-galanya yang tinggal di sana. Itu mungkin tepat apa yang anda mahu. Tetapi ia bukan apa yang dilakukan oleh konfigurasi asal.

Gunakannya apabila tetamu benar-benar perlu menjadi rakan setara pada LAN itu dan pendedahannya diluluskan. Jangan gunakannya kerana satu perkhidmatan berhenti menjawab, kerana perubahan itu boleh memindahkan tetamu keluar daripada pengasingan yang menjadikannya selamat untuk pembangunan.

Selepas setiap pembetulan yang diluluskan, uji dalam urutan tetap: permintaan baharu daripada hos ke tetamu, sumber korporat yang diperlukan melalui terowong, dan tingkah laku penolakan yang dimaksudkan dengan terowong dimatikan. Jika yang terakhir tidak lagi berlaku, pembetulan itu telah melampaui masalahnya.

Bahagian VirtualBox tentang rangkaian host-only menerangkan antara muka perisian di sisi hos dan bagaimana ia berbeza daripada sambungan jambatan, yang merupakan rujukan yang wajar dibaca sebelum menganggap kedua-dua mod itu boleh ditukar ganti.