VPN në mysafir dhe VPN në host: cila rrugë fiton vërtet

Dy klientë punojnë njëkohësisht, secili i bindur se zotëron rrugën e parazgjedhur, dhe simptoma vjen si diçka e çuditshme: një aplikacion i mysafirit punon, një tjetër zgjidhet në vendin e gabuar. Një VPN brenda mysafirit dhe një VPN në host mund të bashkëjetojnë, por vetëm kur rruga e jashtme dhe politika e brendshme bien dakord se kush mbart çfarë. Nisja e të dyjave nuk krijon vetvetiu një zinxhir. Regjistro së pari lidhjen, pastaj ndrysho një gjë në një herë.

Regjistro së pari lidhjen e mysafirit

Mysafiri arrin serverin e vet VPN nëpër rrugën që i dha hipervizori: NAT pas hostit, një urë drejt segmentit fizik ose një rrjet vetëm për hostin me rrugëzim të shtuar sipër. Çdo lidhje ndryshon atë që mysafiri mund të shohë dhe atë që hosti mund të bëjë me trafikun e tij. Nën NAT paketat e mysafirit duken sikur vijnë nga hosti, kështu që tuneli i vetë hostit mund t'i mbajë ato pa e ditur mysafiri asgjë për këtë. Nën një urë mysafiri ka praninë e vet në segment dhe portën e vet të parazgjedhur.

Regjistro lidhjen para se të prekësh çfarëdo konfigurimi, së bashku me cilën klient duhet të mbajë cilën aplikacion. Ai fjali zgjidh shumicën e këtyre rasteve, sepse dy klientët zakonisht ndërtohen mbi supozime të ndryshme. Një mysafir prej të cilit pritet të përdorë tunelin e hostit nuk duhet të ketë gjithashtu rrugën e vet konkurruese të parazgjedhur.

Ndiq pikën fundore të mysafirit nga jashtë

Një VPN e mysafirit ka nevojë për një rrugë të përdorshme drejt serverit të vet përpara se çdo gjë tjetër të punojë. Kur tuneli i hostit është lart dhe mysafiri qëndron pas NAT, shtrëngimi i duarve i mysafirit del përmes tunelit të hostit, që është ose projektimi ose një aksident që askush nuk e dokumentoi. Kur tuneli i hostit bie dhe mysafiri varej prej tij, mysafiri humbet lidhshmërinë pa asnjë ndryshim të vetëm në anën e tij. Ndjekja e pikës fundore nga jashtë të tregon cila nga të dyja rastet është në të vërtetë e jotja.

Një rrugë e gjerë në cilindo prej dy konteksteve kap trafikun që priste klienti tjetër. Një rrugë 0.0.0.0/0 brenda mysafirit dhe një klient hosti me tunel të plotë të dy pretendojnë gjithçka, dhe fiton ai që zbatohet i fundit. Mbivendosjet midis rrjeteve virtuale të mysafirit, LAN-it lokal dhe rrjeteve të largëta prodhojnë të njëjtin efekt për prefikset private, me dështime që ngjajnë me problemet e vërtetimit; sjellja e përkthimit të adresave është e njëjta që përshkruhet për rrjetet e kontejnerëve.

Krahaso një regjistrim para dhe pas

Merr një vijë bazë me tunelin e hostit të fikur, ose në çdo gjendje të kontrolluar që lejon politika jote, dhe regjistro rrugën dhe zgjidhësin e mysafirit. Pastaj zbato konfigurimin e kombinuar dhe krahaso dy regjistrimet, duke i mbajtur të paprekura kërkesat e privatësisë. Nëse një vijë bazë e drejtpërdrejtë nuk është e përshtatshme, shkruaje atë kufizim në regjistrim në vend që të kalosh krahasimin.

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

Kërkesa e rrugës emërton ndërfaqen dhe adresën e burimit që do të mbanin një destinacion të caktuar, dhe është rreshti më i dobishëm në këtë hetim. Lista e rregullave tregon nëse rrugëzimi sipas politikës dërgon disa destinacione përmes një tabele të dytë. Dalja e zgjidhësit tregon nëse DNS ndoqi tunelin e mysafirit ose mbeti në rrugën e hostit. Ekzekuto të njëjtat tre komanda para dhe pas ndryshimit, dhe diferenca emërton fajtorin.

Mbaj pronësinë të qartë midis rinisjeve

Kufizimi i aksesit lokal të një klienti hosti mund të bllokojë trafikun drejt një NAT virtual ose një ure, dhe ai kufizim ngatërrohet rregullisht me një problem kredencialesh të mysafirit. Lexo sjelljen e dokumentuar të klientit në vend që të çaktivizosh kufizimin që të kalojë një test. Pas një korrigjimi të mbështetur, testoj përsëri aplikacionin e mysafirit dhe politikën e dështimit që kërkon. Një host që rilidhet me sukses nuk provon asgjë për rrugën ose zgjidhësin e mysafirit.

Vendos cila anë zotëron rrugën e parazgjedhur dhe shkruaje atë në manualin e operimit. Një rinisje e mysafirit ose një ndërrim rrjeti në host që përmbys pronësinë në heshtje prodhon një raport gabimi për një VPN që nuk kishte faj kurrë. Rregullimi duhet t'i mbijetojë një rinisjeje pa iu kujtuar askujt pse funksiononte.