VPN vklopljen, VM nedosegljiv? Pot verjetno nikoli ni bila težava

Povežite VPN in razvojni VM, ki je še pred minuto odgovarjal, utihne. Očitna zgodba se napiše sama: tunel je prevzel pot, gostitelj zdaj pošilja gostov promet v podjetniško omrežje, rešitev pa je dodati statično pot ali preklopiti adapter v način mostu. Ta zgodba je včasih resnična. A to ni običajen vzrok, in ukrepanje po njej najprej običajno pokvari kaj drugega.

Omrežje host-only je programsko omrežje, ki je v lasti gostitelja in si ga deli s svojimi gosti, ločeno od vsake fizične povezave. Nič v lastnem vmesniku odjemalca VPN ne spremeni tega omrežja, zato pred posegom ugotovite, katera od štirih plasti je v resnici odpovedala.

Pot običajno ostane lokalna

Vprašajte jedro, ne prve strani usmerjevalne tabele. V Linuxu ip route get 192.168.56.10 sporoči točno pot, vmesnik in izvorni naslov, ki bi bili uporabljeni, kar je drugačen odgovor kot branje privzete poti in ugibanje. Če izhod navaja vmesnik host-only, tunel pri tej poti sploh ne sodeluje.

Dve stvari ga lahko resnično pokvarita, in obe so težave z naslovi, ne z VPN. Oddaljeno podomrežje, ki se prekriva s predpono host-only, povzroči, da zmaga bolj določena pot, odjemalec VPN, ki namesti široko pot z nižjo metriko, pa lahko predpono odvleče. Oboje je vidno v istem ukazu: vmesnik, naveden v izhodu, bo tunel, popravek pa pripada tistemu, ki ima ta načrt naslovov.

Izbira poti in prepustitev paketa sta različni odločitvi

To je del, ki ga miselni model običajno izpusti. Tudi s popolno lokalno potjo lahko odjemalec VPN paket zavrne. Mnogi odjemalci uveljavljajo politiko lokalnega dostopa do omrežja, ki odloča, kateri cilji so dovoljeni zunaj tunela, in povezano podomrežje tega seznama ne posodablja samodejno.

Zato je okvara z vidika aplikacije videti enaka težavi z usmerjanjem, z vidika odjemalca pa povsem drugačna. Če ip route get navede pravi vmesnik in povezava vseeno poteče, prenehajte urejati poti in namesto tega preberite dokumentirano vedenje lokalnega dostopa odjemalca. Nekateri odjemalci ponujajo seznam dovoljenih za lokalna podomrežja, drugi blokirajo vse, kar ni tunel, tretji pa blokirajo le, kadar je vklopljeno stikalo za izklop.

Ta razlika je pomembna, ker popravki niso zamenljivi. Dodajanje poti ne more zadovoljiti filtra, izklop filtra zaradi dosega enega gosta pa je veliko večja odločitev, kot nakazuje simptom.

Gost ima tri načine, da reče ne

Gost, ki lahko brska po internetu, ni dokazal ničesar o storitvi, ki jo želite. Poslušalec je lahko znotraj gosta vezan na 127.0.0.1, in takrat ne more prispeti nobena zahteva z gostitelja, ne glede na to, kako dobra je pot. Preverite s ss -ltn v gostu in poglejte stolpec lokalnega naslova, ne le vrata.

Naslednji je gostov lastni požarni zid. Razvojna slika s strogo privzeto nastavitvijo lahko sprejme pakete gostitelja in jih zavrže na meji storitve, kar ustvari časovno prekoračitev, ki je videti natanko kot črna luknja usmerjanja. Nazadnje je tu lastna konfiguracija storitve: spletna aplikacija, vezana na določeno ime gostitelja, ali seznam dovoljenih naslovov odjemalcev bo zavrnil zahtevo iz podomrežja host-only, tudi ko prispe vsak paket.

Prehodite te tri, preden razmislite o spremembi omrežnega načina VM. Vsaka je manjša sprememba kot preoblikovanje gostove povezave in vsaka ima jasen preizkus.

Kaj je most v resnici in koliko stane

Preklop adapterja v način mostu ni popravilo poti host-only. To je odločitev, da gosta postavite v drugo omrežje, običajno fizični LAN, kjer postane viden vsemu drugemu, kar tam živi. To je morda točno tisto, kar želite. A ni tisto, kar je počela prvotna konfiguracija.

Uporabite ga, ko mora biti gost resnično enakovreden člen v tem LAN-u in je izpostavljenost odobrena. Ne uporabljajte ga zato, ker je ena storitev prenehala odgovarjati, saj lahko sprememba gosta odstrani iz izolacije, ki je razvoj proti njemu delala varnega.

Po vsakem odobrenem popravku preizkusite v stalnem vrstnem redu: nova zahteva z gostitelja na gosta, potreben poslovni vir skozi tunel in predvideno zavrnjeno vedenje z izklopljenim tunelom. Če zadnje ne velja več, je popravek segel čez težavo.

Razdelek VirtualBoxa o omrežju host-only opisuje programski vmesnik na strani gostitelja in kako se razlikuje od povezave z mostom, kar je referenca, ki si jo je vredno prebrati, preden domnevate, da sta načina zamenljiva.