Prečo váš hostujúci VPN nefunguje za NAT VirtualBoxu?

Prehliadač vo virtuálnom stroji funguje, ale klient VPN na tom istom hostovi nemôže prenášať dáta. Host má zjavne konektivitu, takže porucha je v tom, čo vyžaduje vonkajší protokol VPN a čo virtuálny NAT prepustí. Výsledok určujú tri podmienky: ktorý proces vlastní VPN, ako vyzerá vonkajšia výmena na drôte a či je režim adaptéra ten, ktorý si myslíte. Pomenovať podmienku, ktorú môžete zmeniť, je celé rozhodnutie.

Nájdite proces VPN, skôr než obviníte sieť

Najprv rozhodnite, či VPN beží vo vnútri hosta alebo na hostiteľovi, pretože obe usporiadania zlyhávajú odlišne. Klient vo vnútri hosta buduje svoje vlastné vonkajšie spojenie cez adaptér hosta a akýkoľvek preklad za ním. VPN na hostiteľovi zachytáva prevádzku hosta podľa zásad hostiteľa a hypervizora, čo je samostatný bod zachytávania s vlastnými pravidlami. Môžu bežať súčasne a miešať dôkazy, preto určite, ktorá má túto prevádzku prenášať, skôr než sa dotknete ktorejkoľvek.

Zapíšte si teraz režim adaptéra hosta, skôr než čokoľvek zmeníte. Tá jediná hodnota vysvetľuje väčšinu toho, čo nasleduje, a je to prvá vec, na ktorú sa vás neskôr niekto opýta.

Vonkajšia výmena rozhoduje o kompatibilite

Sprievodca sieťami VirtualBox uvádza obmedzenia NAT, ktoré tu majú význam: neprepustí iné protokoly ako TCP a UDP, GRE je uvedený ako nepodporovaný a PPTP je daný ako postihnutý príklad. PPTP používa riadiacu výmenu TCP a GRE pre dáta, takže riadiace spojenie môže uspieť, kým dátová cesta nemôže prekročiť tú istú hranicu. Sú to dva rôzne dôkazy a iba jeden z nich sa týka prenosu prevádzky. Povoliť TCP port 47 v pravidle firewallu nie je to isté ako povoliť IP protokol 47, a obe sa neustále zamieňajú.

Držte obmedzenie naviazané na toto usporiadanie NAT, nie na každé zariadenie, ktoré používa slovo NAT. Fyzický router môže prepustiť GRE bez sťažnosti, kým virtuálny NAT ho zahodí, a iný hypervizor si sám vyberá, čo ďalej posiela. Kde organizácia ponúka schválený transport v TCP alebo UDP, použite jej podporovaného klienta a profil pre tú cestu. Kompatibilita je jedna z viacerých požiadaviek a nezakladá ani dôveru v server, ani oprávnenie účtu, ani funkčné súkromné trasy.

Čo premostenie skutočne mení

Most odovzdáva MAC adresu hosta fyzickému segmentu namiesto toho, aby ju skrýval za prekladom. Host potom získa adresu od ktoréhokoľvek servera DHCP, ktorý tento segment obsluhuje, odpovedá ARP pre tú adresu a voči nadradenému prepínaču sa javí ako ďalší port. Tým zmizne cesta virtuálneho prekladu, čo je presne dôvod, prečo ju starý recept odporúča, a zároveň sa zmenia tri ďalšie veci. Adresovanie teraz prichádza z miestneho segmentu a nie z hypervizora, vystavenie znamená, že host je pre tento segment viditeľný, a prijatie závisí od portu prepínača a jeho zásad. Každé z toho môže byť dôvodom zmenu odmietnuť a žiadne nie je o protokole VPN.

Premostenie nenainštaluje chýbajúci plugin, neposkytne nedostupného tajného agenta ani neopraví odmietnutie autentifikácie. Tiež nerobí zo zastaraného protokolu dobrú voľbu, a kde má operátor udržiavanú náhradu, je rozhodnutím práve ona, nie zmena hypervizora. Presmerovanie portu je úplne tretia úloha: zverejňuje prichádzajúcu službu a pre vonkajší protokol odchádzajúceho klienta nerobí nič.

Dva tunely, dve stopy dôkazov

Hostujúci VPN potrebuje použiteľnú cestu z rozhrania hosta k jeho partnerovi, skôr než začne záležať na akejkoľvek vnútornej adrese alebo súkromnej trase. Kde je prítomná VPN na hostiteľovi, môže túto vonkajšiu výmenu prepúšťať alebo blokovať podľa vlastných zásad, a vnútorný tunel hosta sa začína až po úspechu vonkajšieho. Pokrytie žiadnej vrstvy nemožno odčítať z jednej pripojenej ikony ani z verejnej adresy prehliadača na hostiteľovi.

Zachovajte prvú chybovú správu, nie poslednú, pretože najskoršie zlyhanie pomenúva vrstvu. Meňte jedno podporované sieťové usporiadanie naraz, s rovnakým profilom hosta a rovnakými prihlasovacími údajmi, aby porovnanie niečo znamenalo. Podľa zlyhania rozhodnite, ktorá fáza sa zlomila: miestna integrácia, transport, autentifikácia alebo prístup k prostriedkom po zdvihnutí tunela. Každá z nich má iného vlastníka a iba jedna je otázkou hypervizora.

Ktorá podmienka vás skutočne blokuje

Teraz sa rozhodnutie zužuje na tri otázky s rôznymi odpoveďami. Ak je vonkajší protokol mimo TCP a UDP, obmedzením je režim NAT a cestou vpred je most alebo schválený transport TCP/UDP. Ak sa vonkajšia výmena dokončí a dátová cesta nie, obmedzenie je to isté ako v druhom dôkaze. Ak sa tunel zdvihne a prostriedky neodpovedajú, problém už prešiel hypervizor do smerovania alebo zásad.

Zapíšte odpoveď s režimom adaptéra vedľa, inak ďalší človek zopakuje to isté popoludnie. Po každej oprave otestujte skutočnú aplikáciu a preklad mien vo vnútri hosta, potom sa znova pripojte a vyskúšajte zásady zlyhania. Fungujúca webová stránka tunelom dokazuje len to, že webová cesta funguje, čo je menšie tvrdenie, než sa v tej chvíli zdá.