Používa virtuálny počítač Hyper-V sieť VPN hostiteľa? Závisí to od prepínača

Nainštalujte klienta VPN na hostiteľa Hyper-V, otvorte tam prehliadač a výstupná adresa sa zmení; otvorte rovnakú stránku vo virtuálnom počítači a môže zobraziť starú adresu alebo nič. Zvyčajný záver je, že virtuálny počítač je pokazený alebo že treba zapnúť rozdelené tunelovanie. Neplatí ani jedno. Klient VPN nie je vlastnosťou počítača; je to súbor trás, virtuálny adaptér a často filter pripojený ku konkrétnym rozhraniam. Či sa prevádzka hosťa vôbec dostane k tomuto mechanizmu, závisí od virtuálneho prepínača, ktorý hosť používa.

Mýtus, povedané priamo

Viera je, že sieť VPN nainštalovaná na hostiteľovi chráni celý počítač vrátane virtuálnych počítačov, pretože virtuálny počítač je len proces bežiaci na tom počítači. Je to pohodlná viera, keďže antivírus a hostiteľské firewally sa zvyčajne takto správajú. Sieťové trasy nie.

Rámec hosťa sa dotkne zásobníka VPN hostiteľa len vtedy, ak ho hostiteľ smeruje alebo filtruje. Napíšte tú vetu na lepiaci lístok, pretože každý prípad nižšie je jej obmenou.

Tri typy prepínačov, tri trasy

Externý prepínač pripája virtuálny adaptér k fyzickej sieťovej karte a hosť posiela rámce cez toto pripojenie s vlastnou adresou MAC. Hosť sa stáva rovesníkom vo fyzickej sieti s vlastným prenájmom DHCP, bránou a servermi DNS. Predvolená trasa VPN hostiteľa žije v zásobníku hostiteľa a tieto rámce neposúva, pretože sú premosťované, a nie smerované cez hostiteľa. To je aj dôvod, prečo je externý prepínač nad adaptérom Wi-Fi zlý nápad: väčšina bezdrôtových ovládačov nepreájde rámce pre druhú adresu MAC.

Interný prepínač pripája hostí k virtuálnemu adaptéru hostiteľa. Sám o sebe neposkytuje internetový výstup; preklad zabezpečuje objekt NAT na hostiteľovi, ako je opísané v príručke k NAT v Hyper-V. Teraz pakety hosťa vstupujú do smerovania a trasy NAT hostiteľa, takže trasy a filtre klienta VPN opäť záležia. To je usporiadanie, v ktorom virtuálny počítač skutočne nasleduje sieť VPN hostiteľa a v ktorom môže kill switch hosťa úplne odpojiť.

Súkromný prepínač nemá adaptér hostiteľa ani prístupovú linku. Hostia komunikujú len medzi sebou, takže ak virtuálny počítač na súkromnom prepínači nemá internet, príčinou je chýbajúci smerovač a sieť VPN s tým nemá nič spoločné.

Predvolený prepínač je samostatná záležitosť

Windows dodáva predvolený prepínač, ktorý spája interný prepínač s NAT a proxy DNS. Jeho podsieti vyberá hostiteľ, môže sa zmeniť po reštarte a nie je tým istým objektom ako sieť NAT, ktorú si vytvoríte sami. Preto ľudia končia s dvoma NAT a hosťom, ktorý stále nemá trasu — keď ho prestavajú ako laboratórnu sieť.

Ak virtuálny počítač sedí na predvolenom prepínači, prečítajte si adresu, ktorú hosť dostal, a porovnajte ju s tabuľkou NAT hostiteľa skôr, než sa dotknete klienta VPN. Nesúlad medzi bránou hosťa a prefixom NAT vysvetlí viac zlyhaní než akékoľvek nastavenie klienta.

Štyri fakty, ktoré otázku uzatvárajú

Pred akoukoľvek zmenou zozbierajte tieto údaje: typ prepínača a jeho prístupovú linku, adaptér pripojený k virtuálnemu počítaču, vlastnú adresu hosťa, bránu a DNS a stav NAT a predvolenej trasy hostiteľa. Príkazy iba na čítanie sú Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat a Get-NetRoute -DestinationPrefix 0.0.0.0/0; vnútri hosťa ipconfig /all poskytne zvyšok.

Potom rozhodnite, čo má hosť robiť. Ak má zostať mimo siete VPN, získajte od poskytovateľa podporovanú výnimku pre presne túto trasu, pretože vylúčenie spustiteľného súboru hostiteľa nevyjme preposielanú prevádzku virtuálneho počítača. Ak má sieť VPN používať, overte zdokumentované zaobchádzanie klienta s prevádzkou virtuálnych počítačov namiesto predpokladu, že test v prehliadači na hostiteľovi to pokrýva.

Test vnútri hosťa je jediným dôkazom, ktorý sa počíta. Skontrolujte výstupnú adresu z hosťa, preložte interné meno, znovu pripojte sieť VPN a zopakujte to. Výsledok prehliadača na hostiteľovi nie je náhradou za nič z toho.

Čo mýtus stojí

Ľudia vypínajú kill switch, pridávajú statické trasy alebo mažú a vytvárajú prepínače nanovo len preto, aby test prešiel. Každá skratka mení spôsob zlyhania: hosť sa môže dostať na internet cestou, ktorú nikto nezamýšľal, alebo hostiteľ stratí pripojenie, keď externý prepínač znovu pripája svoj fyzický adaptér.

Opätovné pripojenie externého prepínača prerušuje vlastný prístup hostiteľa, preto si ponechajte otvorenú mimopásmovú cestu a počas diagnostiky prepínače nemažte. Správnym výsledkom je zamýšľaná trasa hosťa vrátane toho, ako sa znova pripája a ako zlyháva, nie zelená fajka z jedného načítania stránky.

Trvalou odpoveďou je jeden riadok na virtuálny počítač v inventári: ktorý prepínač používa a ktorý komponent mu dodáva bránu. Keď je to zapísané, ďalšia zmena siete VPN je vyhľadanie namiesto celého popoludnia hádania.