VPN på, VM utilgjengeleg? Ruta var truleg aldri problemet

Kople til VPN, og utviklings-VM-en som svara for eit minutt sidan blir stille. Den opplagde historia skriv seg sjølv: tunnelen tok ruta, verten sender no gjestetrafikken inn i bedriftsnettet, og løysinga er å leggje til ei statisk rute eller byte adapteret til bromodus. Den historia er stundom sann. Men det er ikkje den vanlege årsaka, og å handle på henne først øydelegg vanlegvis noko anna.

Host-only-nettverk er eit programvarenettverk som verten eig og deler med gjestene sine, skilt frå kvar fysisk tilkopling. Ingenting i grensesnittet til VPN-klienten sjølv endrar det nettverket, så før du rører det, finn ut kva av fire lag som faktisk svikta.

Ruta er vanlegvis framleis lokal

Spør kjernen i staden for framsida av rutetabellen. På Linux rapporterer ip route get 192.168.56.10 den nøyaktige ruta, grensesnittet og kjeldeadressa som ville bli brukte, noko som er eit anna svar enn å lese ei standardrute og gjette. Viss utdata nemner host-only-grensesnittet, er tunnelen ikkje involvert i den stien i det heile.

To ting kan verkeleg øydeleggje det, og båe er adresseproblem snarare enn VPN-problem. Eit eksternt subnett som overlappar host-only-prefikset gjer at den meir spesifikke ruta vinn, og ein VPN-klient som installerer ei brei rute med lågare metrikk kan trekkje prefikset bort. Båe er synlege i same kommandoen: grensesnittet som er nemnt i utdata vil vere tunnelen, og rettinga høyrer til den som eig den adresseplanen.

Ruteval og pakkeadgang er ulike avgjerder

Dette er delen den mentale modellen vanlegvis overser. Sjølv med ei perfekt lokal rute kan ein VPN-klient avvise pakken. Mange klientar handhevar ein lokal nettverkstilgangspolicy som avgjer kva mål som er tillatne utanfor tunnelen, og eit tilkopla subnett oppdaterer ikkje den lista automatisk.

Så feilen ser identisk ut med eit ruteproblem frå applikasjonssida, og heilt annleis frå klientsida. Viss ip route get nemner rett grensesnitt og tilkoplinga framleis går ut på tid, slutt å redigere ruter og les i staden den dokumenterte lokale tilgangsåtferda til klienten. Nokre klientar tilbyr ei tillatingsliste for lokale subnett, andre blokkerer alt som ikkje er tunnelen, og atter andre blokkerer berre når ein kill switch er slått på.

Den skilnaden er viktig fordi rettingane ikkje kan bytast. Å leggje til ei rute kan ikkje tilfredsstille eit filter, og å slå av eit filter for å nå ein gjest er eit mykje større val enn symptomet antydar.

Gjesten har tre måtar å seie nei på

Ein gjest som kan surfe på internett har ikkje prova noko om tenesta du vil ha. Lyttaren kan vere bunden til 127.0.0.1 inne i gjesten, og då kan ingen førespurnad frå verten kome fram, uansett kor god stien er. Kontroller med ss -ltn i gjesten og sjå på kolonnen for den lokale adressa, ikkje berre porten.

Neste er den eigne brannmuren til gjesten. Eit utviklingsbilete med ein restriktiv standard kan ta imot pakkane til verten og sleppe dei ved tenestegrensa, noko som gjev ein tidsavbrot som ser nøyaktig ut som eit ruting-svart hòl. Til slutt er det den eigne konfigurasjonen til tenesta: ein webapp bunden til eit bestemt vertsnamn, eller ei tillatingsliste med klientadresser, vil avvise ein førespurnad frå host-only-subnettet sjølv når kvar pakke kjem fram.

Gå gjennom dei tre før du vurderer å endre nettverksmodusen til VM-en. Kvar er ei mindre endring enn å tenkje nytt om tilkoplinga til gjesten, og kvar har ein klar test.

Kva ei bru eigentleg er, og kva ho kostar

Å byte adapteret til bromodus er ikkje ein reparasjon av host-only-stien. Det er eit val om å setje gjesten på eit anna nettverk, vanlegvis det fysiske LAN-et, der han blir synleg for alt anna som bur der. Det kan vere nøyaktig det du vil. Men det er ikkje det den opphavlege konfigurasjonen gjorde.

Bruk det når gjesten verkeleg må vere ein likeverdig part på det LAN-et og eksponeringa er godkjend. Ikkje bruk det fordi éi teneste slutta å svare, sidan endringa kan flytte gjesten ut av isolasjonen som gjorde det trygt å utvikle mot han.

Etter kvar godkjend retting, test i fast rekkjefølgje: ein ny førespurnad frå verten til gjesten, ein påkravd bedriftsressurs gjennom tunnelen, og den tiltenkte avviste åtferda med tunnelen nede. Viss den siste ikkje lenger held, gjekk rettinga utover problemet.

Avsnittet i VirtualBox om host-only-nettverk skildrar programvaregrensesnittet på vertssida og korleis det skil seg frå ei brutlikopling, som er referansen det er verdt å lese før ein går ut frå at dei to modusane kan bytast.