A përdor një VM Hyper-V VPN-në e hostit? Varet nga switch-i

Instaloni një klient VPN në hostin Hyper-V, hapni atje një shfletues dhe adresa e daljes ndryshon; hapni të njëjtën faqe brenda VM-së dhe mund të shfaqë adresën e vjetër, ose asgjë. Përfundimi i zakonshëm është se VM-ja është prishur, ose se duhet aktivizuar tunelimi i ndarë. Asnjëra nuk vlen. Një klient VPN nuk është veti e makinës; është një grup rrugësh, një përshtatës virtual dhe shpesh një filtër i lidhur me ndërfaqe të caktuara. Nëse trafiku i mysafirit takohet ndonjëherë me atë mekanizëm varet nga switch-i virtual që përdor mysafiri.

Miti, i thënë troç

Besimi është se një VPN e instaluar në host mbron të gjithë makinën, përfshirë VM-të, sepse një VM është thjesht një proces që ekzekutohet në atë makinë. Është një besim i rehatshëm, pasi antivirusi dhe firewall-et e hostit zakonisht sillen vërtet kështu. Rrugët e rrjetit jo.

Korniza e mysafirit preket nga shtresa VPN e hostit vetëm nëse hosti e rrugëzon ose e filtron atë. Shkruajeni atë fjali në një shënim ngjitës, sepse çdo rast më poshtë është një variant i saj.

Tre lloje switch-i, tre rrugë

Një switch i jashtëm lidh një përshtatës virtual me një kartë rrjeti fizike, dhe mysafiri dërgon korniza përmes këtij lidhjeje me adresën e vet MAC. Mysafiri bëhet pjesëmarrës i barabartë në rrjetin fizik, me qiranë e vet DHCP, portën dhe serverët DNS. Rruga e parazgjedhur e VPN-së së hostit jeton në shtresën e hostit dhe nuk i lëviz ato korniza, sepse ato urëzohen dhe nuk rrugëzohen përmes hostit. Kjo është gjithashtu arsyeja pse një switch i jashtëm mbi një përshtatës Wi-Fi është ide e dobët: shumica e drejtuesve pa tela nuk do të mbajnë korniza për një adresë të dytë MAC.

Një switch i brendshëm i lidh mysafirët me një përshtatës virtual të hostit. Më vete nuk ofron dalje në internet; një objekt NAT në host siguron përkthimin, siç përshkruhet në udhëzuesin për NAT në Hyper-V. Tani paketat e mysafirit hyjnë në rrugëzimin dhe rrugën NAT të hostit, kështu që rrugët dhe filtrat e klientit VPN bëhen sërish të rëndësishme. Ky është rregullimi ku VM-ja me të vërtetë ndjek VPN-në e hostit dhe ku një kill switch mund ta shkëpusë mysafirin plotësisht.

Një switch privat nuk ka përshtatës hosti dhe as lidhje lart. Mysafirët komunikojnë vetëm me njëri-tjetrin, kështu që nëse një VM në një switch privat nuk ka internet, shkaku është ruteri që mungon dhe VPN-ja nuk ka lidhje.

Switch-i i parazgjedhur është rregullim më vete

Windows sjell një switch të parazgjedhur që bashkon një switch të brendshëm me NAT dhe një proxy DNS. Nënrrjetin e tij e zgjedh hosti, mund të ndryshojë pas rindezjeve dhe nuk është i njëjti objekt si një rrjet NAT që krijoni vetë. Prandaj njerëzit përfundojnë me dy NAT dhe një mysafir që ende nuk ka rrugë — kur e rindërtojnë sikur të ishte rrjet laboratori.

Nëse VM-ja ndodhet në switch-in e parazgjedhur, lexoni adresën që mori mysafiri dhe krahasojeni me tabelën NAT të hostit përpara se të prekni klientin VPN. Mospërputhja midis portës së mysafirit dhe prefiksit NAT shpjegon më shumë dështime se çdo cilësim klienti.

Katër fakte që e zgjidhin pyetjen

Mblidhini këto përpara se të ndryshoni ndonjë gjë: llojin e switch-it dhe lidhjen e tij lart, përshtatësin e lidhur me VM-në, adresën e vetë mysafirit, portën dhe DNS-në, dhe gjendjen e NAT-së dhe rrugës së parazgjedhur të hostit. Komandat vetëm për lexim janë Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat dhe Get-NetRoute -DestinationPrefix 0.0.0.0/0; brenda mysafirit, ipconfig /all jep pjesën tjetër.

Pastaj vendosni çfarë duhet të bëjë mysafiri. Nëse duhet të qëndrojë jashtë VPN-së, merrni nga ofruesi përjashtimin e mbështetur për atë rrugë të saktë, sepse përjashtimi i një ekzekutuesi të hostit nuk e përjashton trafikun e përcjellë të VM-së. Nëse duhet ta përdorë VPN-në, konfirmoni trajtimin e dokumentuar të klientit për trafikun e VM-ve, në vend që të supozoni se një test shfletuesi në host e mbulon atë.

Një test brenda mysafirit është i vetmi provë që vlen. Kontrolloni adresën e daljes nga mysafiri, zgjidhni një emër të brendshëm, rilidhni VPN-në dhe përsëriteni. Rezultati i shfletuesit në host nuk është zëvendësim për asnjë prej tyre.

Çfarë kushton miti

Njerëzit çaktivizojnë kill switch-in, shtojnë rrugë statike, ose fshijnë dhe rikrijojnë switch-e vetëm që një test të kalojë. Çdo shkurtore ndryshon mënyrën e dështimit: mysafiri mund të arrijë internetin përmes një rruge që askush nuk e synonte, ose hosti mund të humbasë lidhjen kur një switch i jashtëm rilidh përshtatësin e tij fizik.

Rilidhja e një switch-i të jashtëm ndërpret aksesin e vetë hostit, prandaj mbani të hapur një rrugë jashtë brezit dhe shmangni fshirjen e switch-eve ndërsa jeni ende duke diagnostikuar. Rezultati i saktë është rruga e synuar e mysafirit, përfshirë mënyrën se si rilidhet dhe si dështon, jo një shenjë e gjelbër nga një ngarkim faqeje.

Përgjigja e qëndrueshme është një rresht për çdo VM në inventar: cilin switch përdor dhe cili komponent i siguron portën. Kur kjo është shkruar, ndryshimi i radhës i VPN-së është një kërkim, jo një pasdite hamendjeje.