VPN i ndezur, VM e paarritshme? Rruga ndoshta nuk ishte kurrë problemi

Lidh VPN-në, dhe VM-ja e zhvillimit që përgjigjej një minutë më parë hesht. Historia e dukshme shkruhet vetë: tuneli mori rrugën, hosti tani dërgon trafikun e mysafirit në rrjetin e korporatës, dhe zgjidhja është të shtosh një rrugë statike ose ta kalosh përshtatësin në modalitetin urë. Ajo histori ndonjëherë është e vërtetë. Por nuk është shkaku i zakonshëm, dhe veprimi sipas saj fillimisht zakonisht prish diçka tjetër.

Rrjeti host-only është një rrjet softuerik në pronësi të hostit dhe i ndarë me mysafirët e tij, i ndarë nga çdo lidhje fizike. Asgjë në ndërfaqen e vetë klientit VPN nuk e ndryshon atë rrjet, prandaj përpara se ta prekësh, zbulo cila nga katër shtresat dështoi vërtet.

Rruga zakonisht mbetet lokale

Pyet kernelin në vend të faqes së parë të tabelës së rrugëzimit. Në Linux, ip route get 192.168.56.10 raporton rrugën, ndërfaqen dhe adresën burimore të sakta që do të përdoreshin, që është një përgjigje tjetër nga leximi i një rruge të paracaktuar dhe hamendësimi. Nëse dalja emërton ndërfaqen host-only, tuneli nuk është fare i përfshirë në atë rrugë.

Dy gjëra mund ta prishin vërtet, dhe të dyja janë probleme adresash, jo të VPN-së. Një nënrrjet i largët që mbivendoset me prefiksin host-only bën që rruga më specifike të fitojë, dhe një klient VPN që instalon një rrugë të gjerë me metrikë më të ulët mund ta tërheqë prefiksin. Të dyja duken në të njëjtin komandë: ndërfaqja e emërtuar në dalje do të jetë tuneli, dhe korrigjimi i takon atij që zotëron atë plan adresash.

Zgjedhja e rrugës dhe pranimi i paketës janë vendime të ndryshme

Kjo është pjesa që modeli mendor zakonisht e lë mangut. Edhe me një rrugë lokale të përsosur, një klient VPN mund ta refuzojë paketën. Shumë klientë zbatojnë një politikë të aksesit lokal në rrjet që vendos cilat destinacione lejohen jashtë tunelit, dhe një nënrrjet i lidhur nuk e përditëson automatikisht atë listë.

Prandaj dështimi duket identik me një problem rrugëzimi nga ana e aplikacionit, dhe krejt i ndryshëm nga ana e klientit. Nëse ip route get emërton ndërfaqen e saktë dhe lidhja vazhdon të skadojë, ndalo së redaktuarit e rrugëve dhe lexo në vend të kësaj sjelljen e dokumentuar të aksesit lokal të klientit. Disa klientë ofrojnë një listë të lejuarish për nënrrjeta lokale, të tjerë bllokojnë gjithçka që nuk është tuneli, dhe të tjerë bllokojnë vetëm kur është aktivizuar një kill switch.

Ky dallim ka rëndësi sepse korrigjimet nuk janë të këmbyeshme. Shtimi i një rruge nuk mund të kënaqë një filtër, dhe çaktivizimi i një filtri për të arritur një mysafir të vetëm është një vendim shumë më i madh sesa sugjeron simptoma.

Mysafiri ka tre mënyra për të thënë jo

Një mysafir që mund të shfletojë internetin nuk ka provuar asgjë për shërbimin që dëshiron. Dëgjuesi mund të jetë i lidhur me 127.0.0.1 brenda mysafirit, dhe në atë rast asnjë kërkesë nga hosti nuk mund të arrijë, sado e mirë të jetë rruga. Kontrollo me ss -ltn brenda mysafirit dhe shiko kolonën e adresës lokale, jo vetëm portën.

Më pas vjen muri i zjarrit i vetë mysafirit. Një imazh zhvillimi me një vlerë të paracaktuar kufizuese mund t'i pranojë paketat e hostit dhe t'i hedhë ato në kufirin e shërbimit, gjë që prodhon një skadim kohe që duket saktësisht si një vrimë e zezë rrugëzimi. Së fundi është konfigurimi i vetë shërbimit: një aplikacion web i lidhur me një emër hosti të caktuar, ose një listë e adresave të klientëve të lejuara, do të refuzojë një kërkesë nga nënnrjeti host-only edhe kur arrin çdo paketë.

Kalo nëpër këto tre përpara se të shqyrtojë ndryshimin e modalitetit të rrjetit të VM. Secili është një ndryshim më i vogël sesa riprojektimi i lidhjes së mysafirit, dhe secili ka një test të qartë.

Çfarë është vërtet një urë, dhe sa kushton

Kalimi i përshtatësit në modalitetin urë nuk është riparim i rrugës host-only. Është vendimi për ta vendosur mysafirin në një rrjet tjetër, zakonisht LAN-in fizik, ku bëhet i dukshëm për gjithçka tjetër që jeton atje. Kjo mund të jetë pikërisht ajo që dëshiron. Por nuk është ajo që bënte konfigurimi origjinal.

Përdore kur mysafiri vërtet duhet të jetë i barabartë në atë LAN dhe ekspozimi është miratuar. Mos e përdor sepse një shërbim i vetëm ndaloi së përgjigjuri, pasi ndryshimi mund ta nxjerrë mysafirin nga izolimi që e bënte të sigurt zhvillimin kundër tij.

Pas çdo korrigjimi të miratuar, testoj në një rend fiks: një kërkesë e re nga hosti te mysafiri, një burim korporativ i nevojshëm përmes tunelit, dhe sjellja e synuar e refuzimit me tunelin të ulur. Nëse e fundit nuk vlen më, korrigjimi shkoi përtej problemit.

Seksioni i VirtualBox për rrjetin host-only përshkruan ndërfaqen softuerike në anën e hostit dhe si ndryshon nga një lidhje urë, që është referenca që ia vlen të lexohet përpara se të supozohet se dy modalitetet janë të këmbyeshme.