Konuk VPN ve ana makine VPN'i: hangi yol gerçekten kazanır

İki istemci aynı anda çalışıyor, her biri varsayılan yola kendisinin sahip olduğuna inanıyor ve belirti garip bir şey olarak geliyor: konuğun bir uygulaması çalışıyor, diğeri yanlış yere çözümleniyor. Konuğun içindeki bir VPN ile ana makinedeki bir VPN bir arada var olabilir, ama yalnızca dış yol ile iç politika kimin neyi taşıdığı konusunda anlaştığında. İkisini birlikte başlatmak kendi başına bir zincir oluşturmaz. Önce bağlantıyı kaydedin, sonra her seferinde tek bir şeyi değiştirin.

Önce konuğun bağlantısını kaydedin

Konuk, VPN sunucusuna hipervizörün verdiği yoldan ulaşır: ana makinenin arkasında NAT, fiziksel segmente bir köprü veya üstüne yönlendirme eklenmiş yalnızca ana makine ağı. Her bağlantı, konuğun ne görebileceğini ve ana makinenin onun trafiğiyle ne yapabileceğini değiştirir. NAT altında konuğun paketleri ana makineden geliyormuş gibi görünür, bu yüzden ana makinenin kendi tüneli onları konuğun hiçbir şey bilmediği şekilde taşıyabilir. Köprü altında konuğun segmentte kendi varlığı ve kendi varsayılan ağ geçidi vardır.

Herhangi bir yapılandırmaya dokunmadan önce bağlantıyı, hangi istemcinin hangi uygulamayı taşıması gerektiğiyle birlikte kaydedin. Bu cümle bu tür vakaların çoğunu çözer, çünkü iki istemci genellikle farklı varsayımlar üzerine kuruludur. Ana makinenin tünelini kullanması beklenen konuğun ayrıca kendi rakip varsayılan yolu olmamalıdır.

Konuğun uç noktasını dışa doğru izleyin

Konuk VPN'inin başka bir şey çalışmadan önce kendi sunucusuna kullanılabilir bir yolu olmalıdır. Ana makinenin tüneli açıkken ve konuk NAT'ın arkasında otururken, konuğun el sıkışması ana makinenin tünelinden çıkar; bu ya tasarımdır ya da kimsenin belgelemediği bir kazadır. Ana makinenin tüneli düşerse ve konuk ona bağımlıysa, konuk kendi tarafında tek bir değişiklik olmadan bağlantıyı kaybeder. Uç noktayı dışa doğru izlemek, bu ikisinden hangisine gerçekten sahip olduğunuzu söyler.

Her iki bağlamda da geniş bir yol, diğer istemcinin beklediği trafiği yakalar. Konuğun içindeki 0.0.0.0/0 yolu ve tam tünelli ana makine istemcisi ikisi de her şeyi talep eder ve en son geçerli olan kazanır. Konuğun sanal ağları, yerel LAN ve uzak ağlar arasındaki örtüşmeler özel önekler için aynı etkiyi yaratır; arızalar kimlik doğrulama sorunlarına benzer; adres çevirisi davranışı konteyner ağları için anlatılanla aynıdır.

Önceki ve sonraki kaydı karşılaştırın

Ana makinenin tüneli kapalıyken, ya da politikanızın izin verdiği herhangi bir kontrollü durumda bir temel ölçüm alın ve konuğun yolunu ve çözümleyicisini kaydedin. Sonra birleşik yapılandırmayı uygulayın ve iki kaydı karşılaştırın, gizlilik gereksinimlerini bozmadan. Doğrudan bir temel ölçüm uygun değilse, karşılaştırmayı atlamak yerine bu kısıtı kayda yazın.

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

Yol sorgusu, belirli bir hedefi taşıyacak arabirimi ve kaynak adresi adlandırır ve bu, bu incelemedeki en yararlı tek satırdır. Kural listesi, ilke yönlendirmesinin bazı hedefleri ikinci bir tablodan gönderip göndermediğini gösterir. Çözümleyici çıktısı, DNS'in konuğun tünelini izleyip izlemediğini veya ana makinenin yolunda kalıp kalmadığını gösterir. Aynı üç komutu değişiklikten önce ve sonra çalıştırın; fark suçluyu adlandıracaktır.

Yeniden başlatmalar arasında sahipliği net tutun

Bir ana makine istemcisinin yerel erişim kısıtlaması, sanal bir NAT'a veya köprüye giden trafiği engelleyebilir ve bu kısıtlama düzenli olarak konuğun kimlik bilgileri sorunuyla karıştırılır. Bir testi geçirmek için kısıtlamayı devre dışı bırakmak yerine istemcinin belgelenmiş davranışını okuyun. Desteklenen bir düzeltmeden sonra konuk uygulamasını ve gerektirdiğiniz hata politikasını yeniden test edin. Başarıyla yeniden bağlanan bir ana makine, konuğun yolu veya çözümleyicisi hakkında hiçbir şey kanıtlamaz.

Varsayılan yola hangi tarafın sahip olduğuna karar verin ve bunu işletim el kitabına yazın. Konuğun yeniden başlatılması veya ana makinede sahipliği sessizce tersine çeviren bir ağ değişikliği, hiç suçlu olmayan bir VPN hakkında hata raporu üretir. Düzen, neden çalıştığını kimse hatırlamadan bir yeniden başlatmayı atlatmalıdır.