Ali virtualni stroj Hyper-V uporablja VPN gostitelja? Odvisno od stikala

Namestite odjemalca VPN na gostitelja Hyper-V, tam odprite brskalnik in izhodni naslov se spremeni; odprite isto stran v virtualnem stroju in morda bo prikazala stari naslov ali nič. Običajen sklep je, da je virtualni stroj pokvarjen ali da je treba omogočiti razdeljeno tuneliranje. Ne drži ne eno ne drugo. Odjemalec VPN ni lastnost računalnika; je niz poti, navidezni vmesnik in pogosto filter, pritrjen na določene vmesnike. Ali promet gosta sploh pride do tega mehanizma, je odvisno od navideznega stikala, ki ga gost uporablja.

Mit, povedan naravnost

Prepričanje je, da VPN, nameščen na gostitelju, ščiti celoten računalnik, vključno z virtualnimi stroji, ker je virtualni stroj le proces, ki teče na tem računalniku. To je udobno prepričanje, saj se protivirusni programi in požarni zidovi gostitelja običajno res obnašajo tako. Omrežne poti pa ne.

Okvir gosta se dotakne sklada VPN gostitelja le, če ga gostitelj usmerja ali filtrira. To poved zapišite na listek, ker je vsak spodnji primer le njena različica.

Tri vrste stikal, tri poti

Zunanje stikalo poveže navidezni vmesnik s fizično omrežno kartico, gost pa pošilja okvire skozi to povezavo z lastnim naslovom MAC. Gost postane enakopraven član fizičnega omrežja z lastnim najemom DHCP, prehodom in strežniki DNS. Privzeta pot VPN gostitelja živi v skladu gostitelja in teh okvirov ne premika, ker so premosteni, ne pa usmerjeni skozi gostitelja. To je tudi razlog, da je zunanje stikalo na vmesniku Wi-Fi slaba ideja: večina brezžičnih gonilnikov ne bo prenesla okvirov za drugi naslov MAC.

Notranje stikalo poveže goste z navideznim vmesnikom gostitelja. Samo po sebi ne zagotavlja izhoda v internet; prevajanje zagotovi objekt NAT na gostitelju, kot je opisano v vodniku za NAT v Hyper-V. Zdaj paketi gosta vstopijo v usmerjanje in pot NAT gostitelja, zato so poti in filtri odjemalca VPN spet pomembni. To je ureditev, v kateri virtualni stroj res sledi VPN gostitelja in v kateri lahko kill switch gosta popolnoma odreže.

Zasebno stikalo nima vmesnika gostitelja niti dostopovne povezave. Gostje komunicirajo le med seboj, zato če virtualni stroj na zasebnem stikalu nima interneta, je vzrok manjkajoči usmerjevalnik, VPN pa s tem nima nič.

Privzeto stikalo je zgodba zase

Windows priloži privzeto stikalo, ki združuje notranje stikalo z NAT in posrednikom DNS. Njegovo podomrežje izbere gostitelj, po ponovnih zagonih se lahko spremeni in ni isti objekt kot omrežje NAT, ki ga ustvarite sami. Prav zato ljudje končajo z dvema NAT in gostom brez poti — ko ga prenavljajo, kot da bi bilo laboratorijsko omrežje.

Če virtualni stroj sedi na privzetem stikalu, preberite naslov, ki ga je gost prejel, in ga primerjajte s tabelo NAT gostitelja, preden se dotaknete odjemalca VPN. Neujemanje med prehodom gosta in predpono NAT pojasni več napak kot katera koli nastavitev odjemalca.

Štiri dejstva, ki vprašanje razrešijo

Pred kakršno koli spremembo zberite to: vrsto stikala in njegovo dostopovno povezavo, vmesnik, pripet na virtualni stroj, gostov lastni naslov, prehod in DNS ter stanje NAT in privzete poti gostitelja. Ukazi samo za branje so Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat in Get-NetRoute -DestinationPrefix 0.0.0.0/0; znotraj gosta ipconfig /all da ostalo.

Nato se odločite, kaj naj gost počne. Če naj ostane zunaj VPN, pridobite pri ponudniku podprto izjemo za točno to pot, ker izključitev izvršljive datoteke gostitelja ne izvzame posredovanega prometa virtualnega stroja. Če naj VPN uporablja, potrdite dokumentirano ravnanje odjemalca s prometom virtualnih strojev, namesto da bi domnevali, da test v brskalniku na gostitelju to pokriva.

Test znotraj gosta je edini dokaz, ki šteje. Preverite izhodni naslov iz gosta, razrešite notranje ime, znova povežite VPN in ponovite. Rezultat brskalnika na gostitelju ni nadomestilo za nič od tega.

Kaj mitu stane

Ljudje izklopijo kill switch, dodajo statične poti ali izbrišejo in znova ustvarijo stikala samo zato, da bi test uspel. Vsaka bližnjica spremeni način odpovedi: gost lahko doseže internet po poti, ki je nihče ni predvidel, ali pa gostitelj izgubi povezljivost, ko zunanje stikalo znova veže svoj fizični vmesnik.

Ponovna vezava zunanjega stikala prekine gostiteljev lastni dostop, zato pustite odprto izvenpasovno pot in med diagnosticiranjem ne brišite stikal. Pravilen izid je predvidena pot gosta, vključno s tem, kako se znova poveže in kako odpove, ne pa zelena kljukica z enega nalaganja strani.

Trajen odgovor je ena vrstica na virtualni stroj v inventarju: katero stikalo uporablja in katera komponenta mu daje prehod. Ko je to zapisano, je naslednja sprememba VPN iskanje namesto popoldneva ugibanja.