Hipervizor v domácom laboratóriu nedostupný cez VPN: kde hľadať

Tunel sa naviaže, webová stránka hipervizora vyprší a klient hovorí, že je pripojený. Táto kombinácia vylučuje prekvapivo veľa: VPN handshake funguje, klient má adresu a koncový bod je dostupný. Zostáva krátky zoznam otázok smerovania a politiky a tie majú prirodzené poradie. Prechádzajte ich od hipervizora von, nie od klienta dovnútra, pretože vlastný stav hipervizora sa potvrdzuje najlacnejšie.

Začnite segmentom správy

Potvrďte adresu správy hipervizora a službu, ktorá na nej počúva, a potvrďte, že stránka sa načíta z iného hostiteľa v tomto segmente, skôr než začnete čokoľvek diagnostikovať na diaľku. Lokálny test, ktorý zlyhá, nie je problém VPN a je to päťminútová kontrola, ktorá ušetrí hodinu.

Potom dve cesty. Klient VPN potrebuje trasu do siete správy, čo zvyčajne znamená, že AllowedIPs klienta alebo pretlačené trasy zahŕňajú túto podsiete. Hipervizor alebo jeho predvolená brána potrebuje spätnú cestu do poolu adries klientov, pokiaľ návrh zámerne neprekladá zdroj na vstupe. Sú to dva oddelené fakty a chýbanie ktoréhokoľvek dáva rovnaké vypršanie. Overte ich oddelene: ip route get 192.168.10.20 na klientovi a zachytenie na hostiteľovi hipervizora, ktoré ukáže, či paket vôbec dorazil.

Povoľte skutočného vzdialeného správcu

Autorizácia je oddelená otázka od dostupnosti. Použite politiku brány a hostiteľa obmedzenú na zdroje a služby, ktoré potrebujú prístup k správe. Hosťovský účet VPN, ktorý potrebuje jednu laboratórnu aplikáciu, by sa tým nemal dostať do roviny správy, a ploché pravidlo, ktoré prepúšťa celú podsiete tunela, je spôsob, akým sa to deje.

Nechajte zapnuté vlastné overovanie hipervizora a kontroly certifikátov. Súkromná trasa nie je dôvod preklikať neočakávané varovanie identity.

Varovanie stojí za to brať ako zistenie, nie ako prekážku. Ak certifikát nezodpovedá použitému názvu, buď je názov nesprávny, alebo služba nie je tá, ktorú si myslíte, a obe odpovede sú na rozhraní správy dôležitejšie než kdekoľvek inde. Dostaňte sa na stránku pod názvom, pre ktorý bol certifikát vydaný, a nechajte DNS nasmerovať tento názov na adresu tunela. Súkromný názov, ktorý sa medzi LAN a tunelom prekladá nekonzistentne, je častou príčinou sťažností na certifikáty, ktoré vyzerajú ako poruchy VPN.

Skontrolujte sekundárne spojenia

Niektoré funkcie používajú spojenia, ktoré webová stránka nepoužíva. Konzolová relácia, nahrávanie ISO, proxy VNC alebo SPICE a migračný kanál môžu každý používať iný port alebo inú adresu hostiteľa. Keď sa stránka načíta a jedna funkcia zlyhá, čítajte požiadavku daného produktu, namiesto otvárania každého portu na hostiteľovi.

Otvoriť všetko je spôsob, akým sa rozhranie správy stane nespravovaným. Každý ďalší port je ďalší poslucháč, ktorý treba udržiavať záplatovaný, a hipervizor ich už vystavuje dosť. Určite konkrétne spojenie, ktoré funkcia potrebuje, potvrďte, že je cez tunel dostupné, a zvyšok nechajte zatvorený. Ak funkcia trvá na priamom spojení s adresou hostiteľa, ktorú cez váš tunel nie je možné smerovať, je to návrhové obmedzenie, ktoré treba zámerne obísť, nie dôvod preposielať rozsah.

Nechajte si cestu späť, skôr než sa dotknete siete

Skôr než zmeníte virtuálnu sieť, ktorá nesie váš vlastný VPN, potvrďte, že máte lokálnu alebo nezávislú cestu späť.

To je najdôležitejšie v domácom laboratóriu, pretože koncový bod VPN je často virtuálny stroj na práve tom hipervizore, ku ktorému sa snažíte dostať. Zmena virtuálneho prepínača, mosta alebo pravidla firewallu na diaľku môže odstrániť cestu, ktorú používate, a relácia môže prežiť dosť dlho na to, aby ste to videli.

Testujte zvonku laboratória, nie z LAN, a overujte odmietnutia rovnako ako povolenia. Sieť, ktorá má zostať z tunela nedostupná, má zostať taká aj po vašej zmene, a to je samostatné tvrdenie od načítania stránky správy. Zapíšte oba výsledky, pretože druhý je ten, ktorý sa preskakuje, a ten, na ktorom záleží, keď laboratórium rastie.

Záznam, ktorý si ponechať, je krátky: adresa a služba správy, trasa, ktorú potrebuje každá strana, identity s povoleným prístupom a cesta obnovy. To stačí, aby ďalší človek reprodukoval funkčný stav bez toho, aby ho znova odvodzoval.

Ak stránka aj po tom všetkom vyprší, zachyťte prevádzku na hipervizore a hľadajte paket, skôr než zmeníte ďalšie pravidlo. Paket, ktorý nikdy nedorazí, je otázka smerovania alebo firewallu; paket, ktorý dorazí a je odmietnutý, je otázka služby alebo politiky; paket, ktorý dorazí a je zodpovedaný, kým klient čaká, je otázka spätnej cesty. Dokumentácia strongSwan k preposielaniu pokrýva, ako linuxová brána preposiela prevádzku tunela internému hostiteľovi. Tri zachytenia porazia ešte jeden odhad.