VPN је укључен, а VM је недоступна? Рута вероватно никада није била проблем

Повежите VPN и развојна VM која је одговарала пре минут времена занеми. Очигледна прича се сама пише: тунел је преузео руту, домаћин сада шаље гостов саобраћај у корпоративну мрежу, а решење је додати статичку руту или пребацити адаптер у режим моста. Та прича је понекад тачна. Али то није уобичајен узрок, а поступање по њој најпре обично поквари нешто друго.

Host-only мрежа је софтверска мрежа коју поседује домаћин и дели са својим гостима, одвојена од сваке физичке везе. Ништа у сопственом интерфејсу VPN клијента не мења ту мрежу, зато пре него што је дотакнете, откријте који је од четири слоја заиста отказао.

Рута обично и даље остаје локална

Питајте језгро, а не насловну страну табеле рутирања. У Linux-у ip route get 192.168.56.10 пријављује тачну руту, интерфејс и изворну адресу који би се користили, што је другачији одговор од читања подразумеване руте и нагађања. Ако излаз именује host-only интерфејс, тунел уопште не учествује на тој путањи.

Две ствари могу стварно да је покваре, и обе су проблеми адреса, а не VPN-а. Удаљена подмрежа која се преклапа са host-only префиксом чини да специфичнија рута победи, а VPN клијент који инсталира широку руту са нижом метриком може да повуче префикс. Обе су видљиве у истој команди: интерфејс наведен у излазу биће тунел, а исправка припада ономе ко поседује тај план адреса.

Избор руте и прихватање пакета су различите одлуке

То је део који мисаони модел обично прескочи. Чак и са савршеном локалном рутом, VPN клијент може да одбије пакет. Многи клијенти примењују политику локалног приступа мрежи која одлучује које су дестинације дозвољене изван тунела, а повезана подмрежа не ажурира тај списак аутоматски.

Зато отказ изгледа исто као проблем рутирања са стране апликације, а потпуно другачије са стране клијента. Ако ip route get именује прави интерфејс, а веза ипак истекне, престаните да уређујете руте и уместо тога прочитајте документовано понашање локалног приступа клијента. Неки клијенти нуде листу дозвољених за локалне подмреже, други блокирају све што није тунел, а трећи блокирају само када је омогућен kill switch.

Та разлика је важна јер исправке нису заменљиве. Додавање руте не може да задовољи филтер, а искључивање филтера да бисте стигли до једног госта много је већа одлука него што симптом сугерише.

Гост има три начина да каже не

Гост који може да претражује интернет није доказао ништа о услузи коју желите. Слушалац може бити везан за 127.0.0.1 унутар госта, и тада ниједан захтев са домаћина не може да стигне, колико год путања била добра. Проверите са ss -ltn у госту и погледајте колону локалне адресе, не само порт.

Следећи је сопствени заштитни зид госта. Развојна слика са строгим подразумеваним подешавањем може да прихвати пакете домаћина и одбаци их на граници услуге, што ствара истек времена који изгледа тачно као рутирачка црна рупа. На крају је сопствена конфигурација услуге: веб апликација везана за одређено име домаћина, или листа дозвољених адреса клијената, одбиће захтев из host-only подмреже чак и када стигне сваки пакет.

Прођите кроз та три пре него што размотрите промену мрежног режима VM. Свака је мања промена од поновног пројектовања повезивања госта, и свака има јасан тест.

Шта је заиста мост и колико кошта

Пребацивање адаптера у режим моста није поправка host-only путање. То је одлука да госта поставите на другу мрежу, обично физички LAN, где постаје видљив свему осталом што тамо живи. То може бити тачно оно што желите. Али то није оно што је радила првобитна конфигурација.

Користите га када гост заиста треба да буде равноправни члан те LAN мреже и када је излагање одобрено. Не користите га зато што је једна услуга престала да одговара, јер промена може да извади госта из изолације која га је чинила безбедним за развој.

После сваке одобрене исправке тестирајте у фиксном редоследу: нови захтев од домаћина ка госту, потребан корпоративни ресурс кроз тунел и предвиђено одбијено понашање са искљученим тунелом. Ако последње више не важи, исправка је отишла даље од проблема.

Одељак VirtualBox-а о host-only мрежи описује софтверски интерфејс на страни домаћина и како се разликује од повезивања мостом, што је референца коју вреди прочитати пре него што претпоставите да су два режима заменљива.