Il-VM Vagrant tisparixxi meta l-VPN tikkonnettja: ta' min hija r-rotta miksura

Il-magna wieġbet minuta ilu, il-VPN ikkonnettjat, u issa l-istess indirizz jaqbeż iż-żmien. Tliet ħsarat jipproduċu dan is-sintomu, u jgħixu fuq magni differenti. L-ospitant jista' jitlef ir-rotta lejn in-netwerk privat, il-firxa NAT tal-mistieden tista' taqbad ma' firxa li t-tunnel issa jħabbar, jew tunnel sħiħ jista' jieħu s-sjieda ta' kull rotta fuq l-ospitant. Skopri liema seħħet qabel ma tbiddel kwalunkwe konfigurazzjoni, għax kull tiswija tgħix f'post ieħor.

Ħares lejn ir-rotta, mhux lejn il-magna

Ħares lejn id-deċiżjoni tar-routing tal-ospitant għall-indirizz tal-mistieden waqt li t-tunnel hija attiva. Rotta li għadha tindika lejn l-adapter biss-ospitant mhijiex il-problema. Rotta li issa tindika lejn l-adapter tal-VPN hija l-problema, u l-klijent bidilha, mhux int. Il-fatt li l-adapter iżomm l-indirizz tiegħu jgħid li l-interface baqgħet ħajja, li huwa fatt differenti mill-bqajja ħajja tal-passaġġ.

Sessjoni SSH li taqa' eżatt fil-mument tal-konnessjoni hija mġiba mistennija. Il-klijent jirriċikla l-adapters u jinstalla rotot, għalhekk il-konnessjoni tmut għal ftit sekondi. Il-ħsara hija l-konnessjoni li qatt ma terġa' lura, mhux dik li biss tefgħet dawl.

Aqbad it-tabella qabel it-tunnel u għal darb'oħra warajha, imbagħad qabbel dawk iż-żewġ outputs. Id-differenza hija d-dijanjosi, u wkoll hija l-evidenza li se jitlob is-sid tan-netwerk.

ip -4 route get 192.168.56.10
ip -brief addr show
ip route show table main | head -20

Aqra t-tabella tal-ospitant qabel u wara

Fuq Linux il-preferenza bejn rotot li jaqblu fuq xulxin ġejja mit-tul tal-prefiss u mill-metrika, għalhekk rotta VPN aktar speċifika tirbaħ ukoll meta tkun ħażina. Fuq Windows il-metrika tal-interface tiddeċiedi l-parità, u l-adapter tat-tunnel ġeneralment jiġi b'metrika aktar baxxa mill-virtuali. Fiż-żewġ każijiet is-sintomu viżibbli huwa identiku: il-pakketti joħorġu mill-adapter tat-tunnel u jisparixxu.

Ipprintja l-adapters u l-metriki tagħhom ħdejn ir-rotta għall-prefiss tal-mistieden. Dak il-par outputs iwieġeb il-mistoqsija tas-sjieda b'daqqa t'għajn waħda.

Get-NetAdapter | Select-Object Name, InterfaceIndex, InterfaceMetric
Get-NetRoute -DestinationPrefix 192.168.56.0/24
route print -4 | Select-String '192.168.56'

Jekk ir-rotta nbidlet imma l-metrika tal-adapter le, il-klijent installa rotta kompetitrici. Jekk il-metrika nbidlet, il-klijent ordna mill-ġdid l-adapters. It-tnejn jistgħu jiġu msewwija, u jiġu msewwija f'postijiet differenti.

Meta l-firxa NAT tal-mistieden hija l-kolliżjoni

VirtualBox NAT juża 10.0.2.0/24 b'mod awtomatiku, u tunnel li jimbotta l-istess firxa jġiegħel lill-mistieden jibgħat dak it-traffiku lejn il-gateway NAT tiegħu minflok lejn id-destinazzjoni vera. Il-pakkett qatt ma jħalli l-ospitant, għalhekk l-ebda log tal-firewall fuq in-naħa l-oħra ma jurih. Docker Machine għandu l-istess klassi ta' kunflitt fil-pjan biss-ospitant tiegħu, u li tbiddel dak il-pjan jista' jeħtieġ li l-magna terġa' tinħoloq flimkien maċ-ċertifikati tagħha.

Agħżel is-sostitut billi telenka dak li t-tunnel diġà tħabbar, imbagħad dak li juża n-netwerk tal-uffiċċju, imbagħad dak li ddikjara kull adapter virtwali fuq dan l-ospitant. Id-doppja hija dak li tkisser ir-routing, u x-xebh mhuwiex rilevanti. Firxa waħda tista' toqgħod kollha kemm hi ġewwa waħda oħra waqt li ma tidhirx xejn qisha fl-ewwel daqqa t'għajn.

Issettja l-firxa l-ġdida meta tinħoloq il-magna, jew ibdilha u erġa' tgħabbi, imbagħad ittestja mill-ġdid il-konnessjoni li qed tfalli mill-mistieden. It-tabella tal-mistieden stess hija l-veduta li timporta.

VBoxManage modifyvm devbox --natnet1 10.77.0.0/24
vagrant reload devbox --provision
vagrant ssh devbox -c 'ip route get 10.20.0.15'

Irrestawra l-passaġġ mingħajr ma tiġġieled mal-klijent

Kull pjattaforma toffri mod kif terġa' ġġib il-prefiss biss-ospitant quddiem. Fuq macOS rotta statika lejn l-interface biss-ospitant taħdem saċ-ċiklu ta' konnessjoni li jmiss. Fuq Windows metrika tal-interface aktar baxxa fuq l-adapter virtwali żżommha preferuta. Fuq Linux operazzjoni ta' sostituzzjoni tkopri prefiss wieħed. It-tlieta huma soluzzjonijiet temporanji, għax klijent li jerġa' jafferma r-rotot tiegħu se jħassarhom.

Skriptja l-verifika minflok rikonnessjoni għamja waqt il-boot. Skript żgħir li jipprintja r-rotta għall-prefiss tal-mistieden wara kull konnessjoni jibdel misteru f'linja fil-log.

Jekk il-profil huwa tunnel sħiħ, itlob lis-sid tan-netwerk tunnel maqsum jew eċċezzjoni dokumentata. Iżżid rotot bil-kwiet li jaqbżu politika tas-sigurtà mhijiex tiswija, hija t-tieni problema li tasal aktar tard ma' awditur.

Ivverifika t-tiswija fuq iż-żewġ naħat

Ivverifika tliet passaġġi wara l-bidla: ospitant għall-mistieden, mistieden għall-ospitant korporattiv, u mistieden għall-internet. Tiswija li tirrestawra waħda u tkisser oħra hija bidla fil-konfigurazzjoni mibdula bħala tiswija. Aqbad l-istess outputs li ġbarta qabel il-bidla biex il-paragun ikun simili ma' simili.

Irreġistra l-interface, il-metrika u r-rotta li nbidlu, flimkien mal-ħin, biex l-okkorrenza li jmiss tkun tfittxija u mhux bini mill-ġdid. Dik in-nota tiswa aktar minn ħajta twila ta' biljetti.

ip -4 route get 192.168.56.10
traceroute -n -m 4 10.20.0.15
curl -sS -o /dev/null -w '%{http_code}\n' https://example.com

Meta l-ospitant jerġa' jilħaq il-mistieden u l-mistieden jilħaq il-LAN, tkun irrestawrajt il-passaġġ li bdejt bih. Meta waħda biss minnhom taħdem, il-ħsara li tifdal hija fit-territorju tas-sid l-ieħor, u d-differenza tgħidlek liema territorju huwa.