Да ли Hyper-V виртуелна машина користи VPN хостера? Зависи од прекидача

Инсталирајте VPN клијент на Hyper-V хостера, отворите тамо прегледач и излазна адреса се мења; отворите исту страницу унутар виртуелне машине и она може приказати стару адресу или ништа. Уобичајен закључак је да је виртуелна машина покварена или да мора да се укључи подељено тунеловање. Ни једно ни друго не следи. VPN клијент није својство машине; то је скуп рута, виртуелни адаптер и често филтер повезан са одређеним интерфејсима. Да ли саобраћај госта икада сретне тај механизам зависи од виртуелног прекидача који гост користи.

Мит, речен једноставно

Уверење је да VPN инсталиран на хостеру штити целу машину, укључујући виртуелне машине, јер је виртуелна машина само процес који се извршава на тој машини. То је удобно уверење, пошто антивирус и заштитни зидови хостера обично заиста тако раде. Мрежне руте не.

Оквир госта дотиче VPN стек хостера само ако га хостер усмерава или филтрира. Препишите ту реченицу на лепљиву белешку, јер је сваки случај испод варијација ње.

Три типа прекидача, три путање

Спољни прекидач повезује виртуелни адаптер са физичком мрежном картицом, а гост шаље оквире кроз то повезивање са својом MAC адресом. Гост постаје равноправан учесник на физичкој мрежи, са сопственим DHCP закупом, гејтвејом и DNS серверима. Подразумевана рута VPN-а хостера живи на стеку хостера и не помера те оквире, јер се они премошћују, а не усмеравају кроз хостера. То је и разлог зашто је спољни прекидач преко Wi-Fi адаптера лоша идеја: већина бежичних драјвера неће пренети оквире за другу MAC адресу.

Унутрашњи прекидач повезује госте са виртуелним адаптером хостера. Сам по себи не пружа излаз на интернет; NAT објекат на хостеру обезбеђује превођење, како је описано у водичу за NAT у Hyper-V. Сада пакети госта улазе у усмеравање и NAT путању хостера, па су руте и филтери VPN клијента поново важни. То је поставка у којој виртуелна машина заиста прати VPN хостера и у којој kill switch може потпуно одсећи госта.

Приватни прекидач нема адаптер хостера ни узводну везу. Гости разговарају само међусобно, па ако виртуелна машина на приватном прекидачу нема интернет, узрок је рутер који недостаје и VPN нема никакве везе.

Подразумевани прекидач је посебна поставка

Windows испоручује подразумевани прекидач који комбинује унутрашњи прекидач са NAT-ом и DNS проксијем. Његову подмрежу бира хостер, може се променити после поновног покретања и није исти објекат као NAT мрежа коју сами направите. Зато људи заврше са два NAT-а и гостом који и даље нема руту — када га преграде као да је лабораторијска мрежа.

Ако виртуелна машина стоји на подразумеваном прекидачу, прочитајте адресу коју је гост добио и упоредите је са NAT табелом хостера пре него што дирнете VPN клијент. Неслагање између гејтвеја госта и NAT префикса објашњава више неуспеха од било ког подешавања клијента.

Четири чињенице које решавају питање

Прикупите ово пре било какве измене: тип прекидача и његову узводну везу, адаптер повезан са виртуелном машином, сопствену адресу госта, гејтвеј и DNS, и стање NAT-а и подразумеване руте хостера. Команде само за читање су Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat и Get-NetRoute -DestinationPrefix 0.0.0.0/0; унутар госта ipconfig /all даје остатак.

Затим одлучите шта гост треба да ради. Ако треба да остане изван VPN-а, прибавите од провајдера подржан изузетак за тачно ту путању, јер изузимање извршне датотеке хостера не изузима прослеђени саобраћај виртуелне машине. Ако треба да користи VPN, потврдите документовано поступање клијента са саобраћајем виртуелних машина уместо да претпоставите да тест у прегледачу на хостеру то покрива.

Тест унутар госта једини је доказ који се рачуна. Проверите излазну адресу из госта, разрешите интерно име, поново повежите VPN и поновите. Резултат прегледача на хостеру није замена ни за шта од тога.

Шта мит кошта

Људи искључују kill switch, додају статичке руте или бришу и поново стварају прекидаче само да би тест прошао. Сваки пречица мења начин отказа: гост може доћи на интернет путањом коју нико није намеравао, или хостер може изгубити везу када спољни прекидач поново повеже свој физички адаптер.

Поновно повезивање спољног прекидача прекида сопствени приступ хостера, зато држите отворену ванпојасну путању и избегавајте брисање прекидача док још дијагностикујете. Исправан исход је намеравана путања госта, укључујући како се поново повезује и како отказује, а не зелена квачица са једног учитавања странице.

Трајан одговор је један ред по виртуелној машини у инвентару: који прекидач користи и која компонента јој даје гејтвеј. Када је то записано, следећа измена VPN-а је претрага уместо поподнева нагађања.