Хипервизор кућне лабораторије недоступан преко VPN-а: где погледати

Тунел се подиже, веб-страница хипервизора истиче, а клијент каже да је повезан. Та комбинација искључује изненађујуће много: VPN руковање ради, клијент има адресу и крајња тачка је доступна. Остаје кратка листа питања о рутирању и политици, и она имају природан редослед. Радите их од хипервизора ка споља, а не од клијента ка унутра, јер је сопствено стање хипервизора најјефтиније потврдити.

Почните од сегмента управљања

Потврдите адресу управљања хипервизора и сервис који на њој слуша, и потврдите да се страница учитава са другог хоста у том сегменту пре него што било шта дијагностикујете на даљину. Локални тест који не успе није VPN проблем и то је петоминутна провера која штеди сат.

Затим две путање. VPN клијенту је потребна рута ка мрежи управљања, што обично значи да AllowedIPs клијента или гурнуте руте укључују ту подмрежу. Хипервизору или његовом подразумеваном гејтвеју потребна је повратна путања до пула адреса клијената, осим ако дизајн намерно не преводи извор на улазу. То су две одвојене чињенице и недостатак било које даје исти истек. Проверите их одвојено: ip route get 192.168.10.20 на клијенту и снимак на хосту хипервизора који показује да ли је пакет уопште стигао.

Дозволите стварног удаљеног администратора

Ауторизација је одвојено питање од доступности. Користите политику гејтвеја и хоста ограничену на изворе и сервисе којима је потребан приступ управљању. Гостујући VPN налог којем је потребна једна лабораторијска апликација не би требало тиме да стигне до равни управљања, а равно правило које прихвата целу подмрежу тунела је начин на који се то дешава.

Држите укључену сопствену аутентификацију хипервизора и провере сертификата. Приватна рута није разлог да кликнете кроз неочекивано упозорење о идентитету.

Вреди упозорење третирати као налаз, а не као препреку. Ако се сертификат не поклапа са именом које сте користили, или је име погрешно или сервис није онај који мислите, и оба одговора су важнија на интерфејсу за управљање него било где другде. Стигните до странице под именом за које је сертификат издат и пустите DNS да то име усмери на адресу тунела. Приватно име које се између LAN-а и тунела решава недоследно је чест узрок жалби на сертификате које изгледају као VPN кварови.

Проверите секундарне везе

Неке функције користе везе које веб-страница не користи. Конзолна сесија, отпремање ISO-а, VNC или SPICE прокси и канал миграције могу сваки да користе други порт или другу адресу хоста. Када се страница учита и једна функција не успе, прочитајте захтев тог производа уместо да отворите сваки порт на хосту.

Отварање свега је начин на који интерфејс за управљање постаје неуправаљан. Сваки додатни порт је још један слушалац који треба одржавати, а хипервизор већ излаже довољно њих. Идентификујте конкретну везу која је потребна функцији, потврдите да је доступна кроз тунел и оставите остало затворено. Ако функција инсистира на директној вези са адресом хоста која се не може рутирати кроз ваш тунел, то је дизајнерско ограничење које треба намерно заобићи, а не разлог да проследите опсег.

Сачувајте пут назад пре него што дотакнете мрежу

Пре него што промените виртуелну мрежу која носи ваш сопствени VPN, потврдите да имате локални или независни пут назад.

То је најважније у кућној лабораторији, јер је крајња тачка VPN-а често виртуелна машина на управо оном хипервизору који покушавате да достигнете. Промена виртуелног прекидача, моста или правила заштитног зида на даљину може да уклони путању коју користите, а сесија може да преживи довољно дуго да то видите.

Тестирајте споља из лабораторије, а не из LAN-а, и проверите одбијања као и дозволе. Мрежа која треба да остане недоступна из тунела треба да остане таква и после ваше промене, и то је одвојена тврдња од учитавања странице за управљање. Запишите оба резултата, јер други се прескаче и он је важан када лабораторија порасте.

Запис који треба чувати је кратак: адреса и сервис управљања, путања потребна свакој страни, идентитети којима је дозвољено да стигну и путања опоравка. То је довољно да следећа особа репродукује радно стање без поновног извођења.

Ако страница и после свега тога истекне, снимите на хипервизору и потражите пакет пре него што промените још једно правило. Пакет који никада не стиже је питање рутирања или заштитног зида; пакет који стигне и буде одбијен је питање сервиса или политике; пакет који стигне и добије одговор док клијент чека је питање повратне путање. Документација strongSwan-а о прослеђивању објашњава како Linux гејтвеј прослеђује саобраћај тунела унутрашњем хосту. Три снимка побеђују још једну претпоставку.