VPN zapnutá, VM nedostupná? Trasa pravdepodobne nikdy nebola problémom

Pripojte VPN a vývojová VM, ktorá ešte pred minútou odpovedala, stíchne. Zjavný príbeh sa napíše sám: tunel si vzal trasu, hostiteľ teraz posiela prevádzku hosťa do podnikovej siete a riešením je pridať statickú trasu alebo prepnúť adaptér do režimu mosta. Ten príbeh je niekedy pravdivý. Ale to nie je obvyklá príčina a konanie podľa neho ako prvé zvyčajne pokazí niečo iné.

Sieť host-only je softvérová sieť, ktorú vlastní hostiteľ a zdieľa so svojimi hosťami, oddelená od akéhokoľvek fyzického pripojenia. Nič na vlastnom rozhraní klienta VPN túto sieť nemení, takže predtým, ako sa jej dotknete, zistite, ktorá zo štyroch vrstiev skutočne zlyhala.

Trasa zostáva zvyčajne stále lokálna

Pýtajte sa jadra, nie titulnej stránky smerovacej tabuľky. V Linuxe ip route get 192.168.56.10 hlási presnú trasu, rozhranie a zdrojovú adresu, ktoré by sa použili, čo je iná odpoveď ako čítanie predvolenej trasy a hádanie. Ak výstup pomenuje rozhranie host-only, tunel sa na tejto ceste vôbec nezúčastňuje.

Dve veci to môžu skutočne pokaziť a obe sú problémy adries, nie VPN. Vzdialená podsieti, ktorá sa prekrýva s prefixom host-only, spôsobí, že vyhrá konkrétnejšia trasa, a klient VPN, ktorý nainštaluje širokú trasu s nižšou metrikou, môže prefix stiahnuť. Obe sú viditeľné v tom istom príkaze: rozhranie uvedené vo výstupe bude tunel a oprava patrí tomu, kto ten plán adries vlastní.

Voľba trasy a prepustenie paketu sú rôzne rozhodnutia

To je časť, ktorú mentálny model zvyčajne vynecháva. Aj s dokonalou lokálnou trasou môže klient VPN paket odmietnuť. Mnoho klientov uplatňuje zásadu miestneho prístupu k sieti, ktorá rozhoduje, ktoré ciele sú povolené mimo tunela, a pripojená podsieti tento zoznam automaticky neaktualizuje.

Zlyhanie preto z pohľadu aplikácie vyzerá rovnako ako problém smerovania a z pohľadu klienta úplne inak. Ak ip route get uvádza správne rozhranie a spojenie napriek tomu vyprší, prestaňte upravovať trasy a namiesto toho si prečítajte dokumentované správanie miestneho prístupu klienta. Niektorí klienti ponúkajú zoznam povolení pre miestne podsiete, iní blokujú všetko, čo nie je tunel, a ďalší blokujú len vtedy, keď je zapnutý kill switch.

Tento rozdiel je dôležitý, pretože opravy nie sú zameniteľné. Pridanie trasy nemôže uspokojiť filter a vypnutie filtra kvôli dosiahnutiu jedného hosťa je oveľa väčšie rozhodnutie, než naznačuje symptóm.

Host má tri spôsoby, ako povedať nie

Host, ktorý dokáže prehliadať internet, nič nedokázal o službe, ktorú chcete. Počúvajúci proces môže byť vnútri hosťa naviazaný na 127.0.0.1, a vtedy nemôže doraziť žiadna požiadavka z hostiteľa, nech je cesta akokoľvek dobrá. Overte to v hosťovi pomocou ss -ltn a pozrite sa na stĺpec miestnej adresy, nie len na port.

Ďalej je vlastný firewall hosťa. Vývojový obraz s reštriktívnym predvoleným nastavením môže prijať pakety hostiteľa a zahodiť ich na hranici služby, čo vytvorí časový limit, ktorý vyzerá presne ako smerovacia čierna diera. Nakoniec je tu vlastná konfigurácia služby: webová aplikácia naviazaná na konkrétne meno hostiteľa alebo zoznam povolených adries klientov odmietne požiadavku z podsiete host-only, aj keď dorazí každý paket.

Prejdite tieto tri body, než zvážite zmenu sieťového režimu VM. Každý je menšia zmena než prestavba pripojenia hosťa a každý má jasný test.

Čo je most v skutočnosti a koľko stojí

Prepnutie adaptéra do režimu mosta nie je opravou cesty host-only. Je to rozhodnutie umiestniť hosťa do inej siete, zvyčajne fyzickej LAN, kde sa stane viditeľným pre všetko ostatné, čo tam žije. Môže to byť presne to, čo chcete. Ale nie je to to, čo robila pôvodná konfigurácia.

Použite ho, keď hosť naozaj musí byť rovnocenným uzlom v tej LAN a vystavenie je schválené. Nepoužívajte ho preto, že jedna služba prestala odpovedať, pretože zmena môže hosťa dostať z izolácie, ktorá robila vývoj proti nemu bezpečným.

Po každej schválenej oprave testujte v pevnom poradí: nová požiadavka z hostiteľa na hosťa, požadovaný podnikový zdroj cez tunel a zamýšľané odmietnuté správanie s vypnutým tunelom. Ak posledné už neplatí, oprava zašla ďalej než problém.

Sekcia VirtualBoxu o sieti host-only opisuje softvérové rozhranie na strane hostiteľa a ako sa líši od pripojenia mostom, čo je referencia, ktorú stojí za to prečítať, než budete predpokladať, že oba režimy sú zameniteľné.