Hipervizori i laboratorit të shtëpisë i paarritshëm përmes VPN: ku të shikohet

Tuneli ngrihet, faqja e internetit e hipervizorit mbaron kohën, dhe klienti thotë se është i lidhur. Ky kombinim përjashton shumë gjëra: shtrëngimi i duarve i VPN funksionon, klienti ka një adresë, dhe pika fundore është e arritshme. Ajo që mbetet është një listë e shkurtër pyetjesh për rrugëtimin dhe politikën, dhe ato kanë një rend natyror. Përpunojini ato nga hipervizori drejt jashtë dhe jo nga klienti drejt brenda, sepse gjendja e vetë hipervizorit është gjëja më e lirë për t'u konfirmuar.

Filloni me segmentin e menaxhimit

Konfirmoni adresën e menaxhimit të hipervizorit dhe shërbimin që dëgjon mbi të, dhe konfirmoni se faqja ngarkohet nga një host tjetër në atë segment përpara se të diagnostikoni diçka në distancë. Një test lokal që dështon nuk është problem VPN, dhe është një kontroll pesëminutësh që kursen një orë.

Pastaj dy rrugët. Klienti i VPN ka nevojë për një rrugë drejt rrjetit të menaxhimit, që zakonisht do të thotë se AllowedIPs e klientit ose rrugët e shtyra përfshijnë atë nënrrjet. Hipervizori, ose porta e tij e paracaktuar, ka nevojë për një rrugë kthimi drejt grupit të adresave të klientëve, përveç nëse dizajni e përkthen qëllimisht burimin në hyrje. Këto janë dy fakte të veçanta dhe mungesa e secilës prodhon të njëjtin afat. Kontrollojini veçmas: ip route get 192.168.10.20 në klient, dhe një kapje në hostin e hipervizorit që tregon nëse paketa mbërriti fare.

Lejoni administratorin real në distancë

Autorizimi është një pyetje e veçantë nga arritshmëria. Përdorni politikë porte dhe hosti të kufizuar në burimet dhe shërbimet që kanë nevojë për akses menaxhimi. Një llogari VPN mysafire që ka nevojë për një aplikacion laboratori nuk duhet të arrijë përmes kësaj në planin e menaxhimit, dhe një rregull i sheshtë që pranon të gjithë nënrrjetin e tunelit është mënyra se si ndodh kjo.

Mbani të aktivizuara vërtetimin e vetë hipervizorit dhe kontrollet e certifikatës. Një rrugë private nuk është arsye për të klikuar përmes një paralajmërimi të papritur identiteti.

Paralajmërimi meriton të trajtohet si gjetje dhe jo si pengesë. Nëse certifikata nuk përputhet me emrin që përdorët, ose emri është i gabuar ose shërbimi nuk është ai që mendoni, dhe të dyja përgjigjet kanë më shumë rëndësi në një ndërfaqe menaxhimi sesa kudo tjetër. Arritni faqen me emrin për të cilin u lëshua certifikata, dhe lërini DNS ta drejtojë atë emër në adresën e tunelit. Një emër privat që zgjidhet në mënyrë jo konsistente midis LAN dhe tunelit është një shkak i zakonshëm i ankesave për certifikata që duken si defekte VPN.

Kontrolloni lidhjet dytësore

Disa veçori përdorin lidhje që faqja e internetit nuk i përdor. Një sesion konsole, një ngarkim ISO, një përfaqësues VNC ose SPICE dhe një kanal migrimi mund të përdorin secili një port tjetër ose një adresë tjetër hosti. Kur faqja ngarkohet dhe një veçori dështon, lexoni kërkesën e atij produkti në vend që të hapni çdo port në host.

Hapja e gjithçkaje është mënyra se si një ndërfaqe menaxhimi bëhet e pamenaxhuar. Çdo port shtesë është një dëgjues tjetër që duhet mbajtur i përditësuar, dhe një hipervizor ekspozon tashmë mjaftueshëm. Identifikoni lidhjen specifike që i duhet veçorisë, konfirmoni se është e arritshme përmes tunelit, dhe lërini të tjerat të mbyllura. Nëse veçoria këmbëngul për një lidhje të drejtpërdrejtë me një adresë hosti që nuk mund të rrugëtohet përmes tunelit tuaj, ai është një kufizim dizajni që duhet anashkaluar qëllimisht, jo një arsye për të përçuar një gamë.

Mbani një rrugë kthimi përpara se të prekni rrjetin

Përpara se të ndryshoni rrjetin virtual që transporton VPN tuaj, konfirmoni se keni një rrugë kthimi lokale ose të pavarur.

Kjo ka më shumë rëndësi në një laborator shtëpiak, sepse pika fundore e VPN është shpesh një makinë virtuale pikërisht në atë hipervizor që po përpiqeni të arrini. Ndryshimi i një ndërprerësi virtual, një ure ose një rregulli muri zjarri në distancë mund të heqë rrugën që po përdorni, dhe sesioni mund të mbijetojë mjaft gjatë për ta parë atë të ndodhë.

Testoni nga jashtë laboratorit dhe jo nga LAN, dhe verifikoni refuzimet ashtu si lejet. Një rrjet që duhet të mbetet i paarritshëm nga tuneli duhet të mbetet i tillë edhe pas ndryshimit tuaj, dhe ky është një pohim i veçantë nga ngarkimi i faqes së menaxhimit. Shkruani të dy rezultatet, sepse i dyti është ai që anashkalohet dhe ai që ka rëndësi kur laboratori rritet.

Regjistri që duhet mbajtur është i shkurtër: adresa dhe shërbimi i menaxhimit, rruga që i duhet secilës anë, identitetet e lejuara të arrijnë, dhe rruga e rikuperimit. Kjo mjafton që personi tjetër të riprodhojë gjendjen funksionale pa e nxjerrë përsëri.

Nëse faqja ende mbaron kohën pas gjithë kësaj, bëni një kapje në hipervizor dhe kërkoni paketën përpara se të ndryshoni një rregull tjetër. Një paketë që nuk mbërrin kurrë është një pyetje rrugëtimi ose muri zjarri; një paketë që mbërrin dhe refuzohet është një pyetje shërbimi ose politike; një paketë që mbërrin dhe përgjigjet ndërsa klienti pret është një pyetje rruge kthimi. Dokumentacioni i strongSwan për përçimin shpjegon se si një portë Linux përçon trafikun e tunelit drejt një hosti të brendshëm. Tre kapje mundin një hamendësim më shumë.