VPN uključen, VM nedostupan? Ruta vjerojatno nikada nije bila problem

Povežite VPN i razvojna VM koja je prije minutu odgovarala odjednom utihne. Očigledna priča piše se sama: tunel je preuzeo rutu, host sada šalje gost-promet u korporativnu mrežu, a rješenje je dodati statičku rutu ili prebaciti adapter u bridge način. Ta priča je ponekad točna. Ali to nije uobičajen uzrok, a djelovanje po njoj prvo obično pokvari nešto drugo.

Host-only mreža je softverska mreža koju posjeduje host i dijeli sa svojim gostima, odvojena od svakog fizičkog priključka. Ništa u vlastitom sučelju VPN klijenta ne mijenja tu mrežu, pa prije nego je dotaknete, otkrijte koji je od četiri sloja zaista zakazao.

Ruta je obično i dalje lokalna

Pitajte jezgru, a ne prvu stranicu tablice usmjeravanja. Na Linuxu ip route get 192.168.56.10 prijavljuje točnu rutu, sučelje i izvornu adresu koje bi koristio, što je drugačiji odgovor od čitanja zadane rute i nagađanja. Ako izlaz navodi host-only sučelje, tunel uopće ne sudjeluje u tom putu.

Dvije stvari ga mogu zaista pokvariti i obje su problemi s adresama, a ne s VPN-om. Udaljena podmreža koja se preklapa s host-only prefiksom čini da specifičnija ruta pobijedi, a VPN klijent koji instalira široku rutu s nižom metrikom može povući prefiks. Obje su vidljive u istoj naredbi: sučelje navedeno u izlazu bit će tunel, a popravak pripada onome tko posjeduje taj plan adresa.

Odabir rute i propuštanje paketa različite su odluke

To je dio koji mentalni model obično propušta. Čak i sa savršenom lokalnom rutom, VPN klijent može odbiti paket. Mnogi klijenti primjenjuju politiku lokalnog pristupa mreži koja odlučuje koje su destinacije dopuštene izvan tunela, a povezana podmreža ne ažurira taj popis automatski.

Zato kvar izgleda identično problemu s usmjeravanjem sa strane aplikacije, a potpuno drugačije sa strane klijenta. Ako ip route get navede ispravno sučelje, a veza i dalje istekne, prestanite uređivati rute i umjesto toga pročitajte dokumentirano ponašanje lokalnog pristupa klijenta. Neki klijenti nude popis dopuštenja za lokalne podmreže, neki blokiraju sve što nije tunel, a neki blokiraju samo kada je uključen kill switch.

Ta razlika je važna jer popravci nisu zamjenjivi. Dodavanje rute ne može zadovoljiti filtar, a isključivanje filtra da biste dohvatili jednog gosta mnogo je veća odluka nego što simptom sugerira.

Gost ima tri načina da kaže ne

Gost koji može pregledavati internet nije dokazao ništa o usluzi koju želite. Slušatelj može biti vezan na 127.0.0.1 unutar gosta, pa u tom slučaju nijedan zahtjev s hosta ne može stići, koliko god put bio dobar. Provjerite s ss -ltn u gostu i pogledajte stupac lokalne adrese, a ne samo port.

Sljedeći je gostov vlastiti vatrozid. Razvojna slika s restriktivnim zadanim postavkama može prihvatiti pakete hosta i odbaciti ih na granici usluge, što stvara istek vremena koji izgleda točno kao crna rupa u usmjeravanju. Konačno, tu je vlastita konfiguracija usluge: web aplikacija vezana na određeno ime hosta ili popis dopuštenih adresa klijenata odbit će zahtjev iz host-only podmreže čak i kada svaki paket stigne.

Prođite kroz ta tri prije nego što razmislite o promjeni mrežnog načina VM-a. Svaka je manja promjena od preuređenja gostovog priključka i svaka ima jasan test.

Što bridge zaista jest i koliko košta

Prebacivanje adaptera u bridge način nije popravak host-only puta. To je odluka da gosta stavite na drugu mrežu, obično fizički LAN, gdje postaje vidljiv svemu što tamo živi. To može biti točno ono što želite. Ali to nije ono što je izvorna konfiguracija radila.

Koristite ga kada gost zaista treba biti ravnopravan čvor na tom LAN-u i kada je izlaganje odobreno. Ne koristite ga zato što je jedna usluga prestala odgovarati, jer promjena može izmjestiti gosta iz izolacije koja ga je činila sigurnim za razvoj.

Nakon svakog odobrenog ispravka testirajte utvrđenim redoslijedom: novi zahtjev od hosta prema gostu, potreban korporativni resurs kroz tunel i predviđeno odbijeno ponašanje s isključenim tunelom. Ako posljednje više ne vrijedi, ispravak je otišao dalje od problema.

VirtualBoxov odjeljak o host-only mreži opisuje softversko sučelje na strani hosta i kako se razlikuje od bridge priključka, što je referenca koju vrijedi pročitati prije nego pretpostavite da su dva načina zamjenjiva.