Hypervisor tal-laboratorju tad-dar ma jintlaħaqx mill-VPN: fejn wieħed iħares

It-tunnel jogħla, il-paġna tal-web tal-hypervisor tintemm bi żmien skadut, u l-klijent jgħid li huwa konness. Dik il-kombinazzjoni teskludi ħafna: il-handshake tal-VPN jaħdem, il-klijent għandu indirizz, u l-punt tat-tmiem jintlaħaq. Li jibqa' hija lista qasira ta' mistoqsijiet dwar ir-rotta u l-politika, u għandhom ordni naturali. Aħdem magħhom mill-hypervisor 'il barra u mhux mill-klijent 'il ġewwa, għax l-istat tal-hypervisor innifsu huwa l-irħas ħaġa li tista' tikkonferma.

Ibda mis-segment tal-immaniġġjar

Ikkonferma l-indirizz tal-immaniġġjar tal-hypervisor u s-servizz li jisma' fuqu, u kkonferma li l-paġna tgħabbi minn host ieħor f'dak is-segment qabel ma tiddijanjostika xi ħaġa mill-bogħod. Test lokali li jfalli mhuwiex problema tal-VPN, u hija verifika ta' ħames minuti li tiffranka siegħa.

Imbagħad iż-żewġ mogħdijiet. Il-klijent tal-VPN jeħtieġ rotta lejn in-netwerk tal-immaniġġjar, li normalment ifisser li l-AllowedIPs tal-klijent jew ir-rotot imbuttati jinkludu dik is-subnet. Il-hypervisor, jew il-gateway default tiegħu, jeħtieġ mogħdija lura lejn il-pool tal-indirizzi tal-klijenti, sakemm id-disinn ma jittraduċix is-sors fuq id-dħul b'mod intenzjonat. Dawn huma żewġ fatti separati u n-nuqqas ta' wieħed minnhom jagħti l-istess żmien skadut. Iċċekkjahom separatament: ip route get 192.168.10.20 fuq il-klijent, u qabda fuq il-host tal-hypervisor li turi jekk il-pakkett wasalx.

Permetti lill-amministratur remot reali

L-awtorizzazzjoni hija mistoqsija separata mill-aċċessabbiltà. Uża politika tal-gateway u tal-host limitata għas-sorsi u s-servizzi li jeħtieġu aċċess għall-immaniġġjar. Kont tal-VPN mistieden li jeħtieġ applikazzjoni waħda tal-laboratorju m'għandux b'hekk jasal għall-pjan tal-immaniġġjar, u regola ċatta li tammetti s-subnet kollu tat-tunnel hija kif dan jiġri.

Ħalli l-awtentikazzjoni tal-hypervisor innifsu u l-kontrolli taċ-ċertifikat mixgħula. Rotta privata mhijiex raġuni biex tikklikkja minn twissija tal-identità mhux mistennija.

It-twissija ta' min jittrattaha bħala sejba u mhux bħala ostaklu. Jekk iċ-ċertifikat ma jaqbilx mal-isem li użajt, jew l-isem huwa żbaljat jew is-servizz mhuwiex dak li taħseb, u ż-żewġ tweġibiet jiswew aktar fuq interface tal-immaniġġjar milli f'kullimkien ieħor. Ilħaq il-paġna bl-isem li għalih inħareġ iċ-ċertifikat, u ħalli d-DNS jindika dak l-isem lejn l-indirizz tat-tunnel. Isem privat li jiġi riżolt b'mod inkonsistenti bejn il-LAN u t-tunnel huwa kawża komuni ta' ilmenti dwar iċ-ċertifikat li jidhru bħal ħsarat tal-VPN.

Iċċekkja l-konnessjonijiet sekondarji

Xi karatteristiċi jużaw konnessjonijiet li l-paġna tal-web ma tużax. Sessjoni tal-console, upload tal-ISO, proxy tal-VNC jew SPICE u kanal tal-migrazzjoni jistgħu kull wieħed juża port differenti jew indirizz tal-host differenti. Meta l-paġna tgħabbi u karatteristika waħda tfalli, aqra r-rekwiżit ta' dak il-prodott minflok ma tiftaħ kull port fuq il-host.

Li tiftaħ kollox huwa kif interface tal-immaniġġjar isir wieħed mhux immaniġġjat. Kull port żejjed huwa semmiegħ ieħor li jrid jinżamm ippatchjat, u l-hypervisor diġà jesponi biżżejjed minnhom. Identifika l-konnessjoni speċifika li teħtieġ il-karatteristika, ikkonferma li tintlaħaq mit-tunnel, u ħalli l-bqija magħluqin. Jekk il-karatteristika tinsisti fuq konnessjoni diretta ma' indirizz tal-host li ma jistax jiġi routjat mit-tunnel tiegħek, dak huwa restrizzjoni tad-disinn li trid tiġi evitata b'mod intenzjonat, mhux raġuni biex tibgħat firxa 'l quddiem.

Żomm triq lura qabel ma tmiss in-netwerk

Qabel ma tbiddel in-netwerk virtwali li jġorr il-VPN tiegħek stess, ikkonferma li għandek triq lura lokali jew indipendenti.

Dan jgħodd l-aktar f'laboratorju tad-dar, għax il-punt tat-tmiem tal-VPN spiss huwa magna virtwali fuq l-istess hypervisor li qed tipprova tilħaq. Li tbiddel switch virtwali, pont jew regola tal-firewall mill-bogħod jista' jneħħi l-mogħdija li qed tuża, u s-sessjoni tista' tgħix biżżejjed biex taraha tiġri.

Ittestja minn barra l-laboratorju u mhux mill-LAN, u ivverifika ċ-ċaħdiet kif ukoll il-permessi. Netwerk li għandu jibqa' ma jintlaħaqx mit-tunnel għandu jibqa' hekk wara l-bidla tiegħek, u dik hija stqarrija separata mit-tgħabbi tal-paġna tal-immaniġġjar. Ikteb iż-żewġ riżultati, għax it-tieni huwa dak li jiġi injorat u dak li jgħodd meta l-laboratorju jikber.

Ir-rekord li għandu jinżamm huwa qasir: l-indirizz u s-servizz tal-immaniġġjar, ir-rotta li teħtieġ kull naħa, l-identitajiet permessi jilħqu, u t-triq tal-irkupru. Dan huwa biżżejjed biex il-persuna li jmiss tirriproduċi l-istat li jaħdem mingħajr ma terġa' tiddeduċih.

Jekk il-paġna xorta tintemm bi żmien skadut wara dan kollu, aqbad fuq il-hypervisor u fittex il-pakkett qabel ma tbiddel regola oħra. Pakkett li qatt ma jasal hija mistoqsija tar-rotta jew tal-firewall; pakkett li jasal u jiġi miċħud hija mistoqsija tas-servizz jew tal-politika; pakkett li jasal u jiġi mwieġeb waqt li l-klijent jistenna hija mistoqsija tat-triq lura. Id-dokumentazzjoni ta' strongSwan dwar l-ippeġġjar tispjega kif gateway Linux jgħaddi t-traffiku tat-tunnel lil host intern. Tliet qabdiet jegħlbu suppożizzjoni oħra.