Hipervizor v domačem laboratoriju ni dosegljiv prek VPN: kam pogledati

Tunel se dvigne, spletna stran hipervizorja poteče, odjemalec pa pravi, da je povezan. Ta kombinacija izključuje presenetljivo veliko: rokovanje VPN deluje, odjemalec ima naslov in končna točka je dosegljiva. Ostane kratek seznam vprašanj o usmerjanju in politiki, ta pa imajo naravni vrstni red. Obdelajte jih od hipervizorja navzven in ne od odjemalca navznoter, ker je stanje hipervizorja samega najceneje potrditi.

Začnite s segmentom upravljanja

Potrdite naslov upravljanja hipervizorja in storitev, ki posluša na njem, ter da se stran naloži z drugega gostitelja v tem segmentu, preden karkoli diagnosticirate na daljavo. Lokalni test, ki spodleti, ni težava VPN in je petminutno preverjanje, ki prihrani uro.

Nato dve poti. Odjemalec VPN potrebuje pot do omrežja upravljanja, kar običajno pomeni, da AllowedIPs odjemalca ali potisnjene poti vključujejo to podomrežje. Hipervizor ali njegova privzeta prehodna postaja potrebuje povratno pot do nabora naslovov odjemalcev, razen če zasnova namenoma prevaja vir na vstopu. To sta dve ločeni dejstvi in manjkajoče katero koli od njiju da enak časovni pretek. Preverite ju ločeno: ip route get 192.168.10.20 na odjemalcu in zajem na gostitelju hipervizorja, ki pokaže, ali je paket sploh prispel.

Dovolite dejanskega oddaljenega skrbnika

Avtorizacija je ločeno vprašanje od dosegljivosti. Uporabite politiko prehodne postaje in gostitelja, omejeno na vire in storitve, ki potrebujejo skrbniški dostop. Gostujoči račun VPN, ki potrebuje eno laboratorijsko aplikacijo, naj se zato ne bi dokopal do ravnine upravljanja, in plosko pravilo, ki spusti celotno podomrežje tunela, je način, kako se to zgodi.

Pustite vključeno avtentikacijo hipervizorja samega in preverjanja potrdil. Zasebna pot ni razlog za klikanje skozi nepričakovano opozorilo o identiteti.

Opozorilo je vredno obravnavati kot ugotovitev in ne kot oviro. Če se potrdilo ne ujema z uporabljenim imenom, je ime napačno ali pa storitev ni tista, ki jo mislite, in oba odgovora na vmesniku za upravljanje štejeta več kot kjer koli drugje. Pridite do strani pod imenom, za katero je bilo potrdilo izdano, in pustite, da DNS to ime usmeri na naslov tunela. Zasebno ime, ki se med LAN in tunelom razrešuje nedosledno, je pogost vzrok pritožb glede potrdil, ki izgledajo kot okvare VPN.

Preverite sekundarne povezave

Nekatere funkcije uporabljajo povezave, ki jih spletna stran ne uporablja. Konzolna seja, nalaganje ISO, posrednik VNC ali SPICE in selitveni kanal lahko vsak uporablja druga vrata ali drug naslov gostitelja. Ko se stran naloži in ena funkcija spodleti, preberite zahtevo tega izdelka, namesto da odprete vsaka vrata na gostitelju.

Odpiranje vsega je način, kako vmesnik za upravljanje postane neupravljan. Vsaka dodatna vrata so še en poslušalec, ki ga je treba vzdrževati, hipervizor pa jih že izpostavlja dovolj. Določite konkretno povezavo, ki jo funkcija potrebuje, potrdite, da je dosegljiva skozi tunel, in pustite ostalo zaprto. Če funkcija vztraja pri neposredni povezavi z naslovom gostitelja, ki ga skozi vaš tunel ni mogoče usmerjati, je to oblikovalska omejitev, ki jo je treba namenoma obiti, ne razlog za posredovanje obsega.

Obdržite pot nazaj, preden se dotaknete omrežja

Preden spremenite virtualno omrežje, ki prenaša vaš lastni VPN, potrdite, da imate lokalno ali neodvisno pot nazaj.

To je najpomembnejše v domačem laboratoriju, ker je končna točka VPN pogosto virtualni stroj prav na tistem hipervizorju, do katerega poskušate priti. Spreminjanje virtualnega stikala, mostu ali pravila požarnega zidu na daljavo lahko odstrani pot, ki jo uporabljate, seja pa lahko preživi dovolj dolgo, da to vidite.

Preizkusite od zunaj laboratorija in ne iz LAN, ter preverite zavrnitve prav tako kot dovoljenja. Omrežje, ki mora ostati nedosegljivo iz tunela, mora ostati tako tudi po vaši spremembi, in to je ločena trditev od nalaganja strani za upravljanje. Zapišite oba rezultata, ker drugi je tisti, ki se izpusti, in tisti, ki šteje, ko laboratorij raste.

Zapis, ki ga velja hraniti, je kratek: naslov in storitev upravljanja, pot, ki jo potrebuje vsaka stran, identitete z dovoljenjem za dostop in pot za obnovitev. To zadostuje, da naslednja oseba poustvari delujoče stanje, ne da bi ga znova izpeljala.

Če stran tudi po vsem tem poteče, zajemite na hipervizorju in poiščite paket, preden spremenite še eno pravilo. Paket, ki nikoli ne prispe, je vprašanje usmerjanja ali požarnega zidu; paket, ki prispe in je zavrnjen, je vprašanje storitve ali politike; paket, ki prispe in prejme odgovor, medtem ko odjemalec čaka, je vprašanje povratne poti. Dokumentacija strongSwan o posredovanju opisuje, kako Linuxova prehodna postaja posreduje promet tunela notranjemu gostitelju. Trije zajemi premagajo še eno ugibanje.