Ev laboratuvarındaki hipervizöre VPN üzerinden ulaşılamıyor: nereye bakmalı

Tünel ayağa kalkıyor, hipervizörün web sayfası zaman aşımına uğruyor ve istemci bağlı olduğunu söylüyor. Bu birleşim şaşırtıcı derecede çok şeyi eler: VPN el sıkışması çalışıyor, istemcinin bir adresi var ve uç noktaya ulaşılabiliyor. Geriye yönlendirme ve ilke sorularından oluşan kısa bir liste kalıyor ve bunların doğal bir sırası var. Bunları istemciden içeri doğru değil hipervizörden dışarı doğru işleyin, çünkü hipervizörün kendi durumunu doğrulamak en ucuz olanıdır.

Yönetim segmentiyle başlayın

Hipervizörün yönetim adresini ve onu dinleyen hizmeti doğrulayın, ayrıca herhangi bir uzak tanılama yapmadan önce sayfanın aynı segmentteki başka bir ana makineden yüklendiğini doğrulayın. Başarısız olan yerel test bir VPN sorunu değildir ve bir saat kazandıran beş dakikalık bir kontroldür.

Sonra iki yol. VPN istemcisinin yönetim ağına bir rotaya ihtiyacı vardır, bu genellikle istemcinin AllowedIPs veya itilen rotaların o alt ağı içerdiği anlamına gelir. Hipervizör veya varsayılan ağ geçidi istemci adres havuzuna dönüş yoluna ihtiyaç duyar, tasarım girişte kaynağı bilinçli olarak çevirmiyorsa. Bunlar iki ayrı olgudur ve herhangi birinin eksikliği aynı zaman aşımını verir. Bunları ayrı ayrı denetleyin: istemcide ip route get 192.168.10.20 ve paketin gelip gelmediğini gösteren hipervizör ana makinesinde bir yakalama.

Gerçek uzak yöneticiye izin verin

Yetkilendirme, ulaşılabilirlikten ayrı bir sorudur. Ağ geçidi ve ana makine ilkesini yönetim erişimi gerektiren kaynaklar ve hizmetlerle sınırlayın. Tek bir laboratuvar uygulamasına ihtiyaç duyan konuk VPN hesabı bu yüzden yönetim düzlemine ulaşmamalıdır ve tüm tünel alt ağını kabul eden düz bir kural bunun olma yoludur.

Hipervizörün kendi kimlik doğrulamasını ve sertifika denetimlerini açık tutun. Özel bir rota beklenmedik bir kimlik uyarısını tıklayıp geçmek için gerekçe değildir.

Uyarıyı engel değil bulgu olarak ele almak gerekir. Sertifika kullandığınız adla eşleşmiyorsa ya ad yanlıştır ya da hizmet düşündüğünüz şey değildir ve iki yanıt da yönetim arayüzünde başka her yerden daha önemlidir. Sayfaya sertifikanın düzenlendiği adla ulaşın ve DNS'in o adı tünel adresine yönlendirmesine izin verin. LAN ile tünel arasında tutarsız çözülen özel bir ad VPN arızaları gibi görünen sertifika şikayetlerinin yaygın nedenidir.

İkincil bağlantıları denetleyin

Bazı özellikler web sayfasının kullanmadığı bağlantılar kullanır. Bir konsol oturumu, ISO yüklemesi, VNC veya SPICE vekili ve geçiş kanalı her biri farklı bir bağlantı noktası veya farklı bir ana makine adresi kullanabilir. Sayfa yüklendiğinde ve bir özellik başarısız olduğunda, ana makinedeki her bağlantı noktasını açmak yerine o ürünün gereksinimini okuyun.

Her şeyi açmak, bir yönetim arayüzünün yönetilmeyen bir arayüze dönüşme yoludur. Her ek bağlantı noktası yamalı tutulması gereken bir dinleyici daha demektir ve hipervizör zaten yeterince açığa çıkarır. Özelliğin ihtiyaç duyduğu belirli bağlantıyı belirleyin, tünel üzerinden ulaşılabilir olduğunu doğrulayın ve gerisini kapalı bırakın. Özellik, tüneliniz üzerinden yönlendirilemeyen bir ana makine adresine doğrudan bağlantıda ısrar ediyorsa bu, bilinçli olarak etrafından dolaşılması gereken bir tasarım kısıtıdır, bir aralığı yönlendirmek için gerekçe değildir.

Ağa dokunmadan önce dönüş yolunu koruyun

Kendi VPN'inizi taşıyan sanal ağı değiştirmeden önce yerel veya bağımsız bir dönüş yolunuz olduğunu doğrulayın.

Bu, ev laboratuvarında en çok önem taşır, çünkü VPN uç noktası genellikle ulaşmaya çalıştığınız hipervizörün tam üzerindeki sanal makinedir. Sanal bir anahtarı, köprüyü veya güvenlik duvarı kuralını uzaktan değiştirmek kullandığınız yolu kaldırabilir ve oturum bunun olduğunu görecek kadar uzun yaşayabilir.

LAN'dan değil laboratuvarın dışından test edin ve reddetmeleri de izinler kadar doğrulayın. Tünelden ulaşılamaz kalması gereken bir ağ, değişikliğinizden sonra da ulaşılamaz kalmalıdır ve bu, yönetim sayfasının yüklenmesinden ayrı bir iddiadır. İki sonucu da yazın, çünkü ikincisi atlanan ve laboratuvar büyüdüğünde önemli olandır.

Saklanacak kayıt kısadır: yönetim adresi ve hizmeti, her tarafın ihtiyaç duyduğu rota, ulaşmasına izin verilen kimlikler ve kurtarma yolu. Bu, bir sonraki kişinin çalışan durumu yeniden türetmeden yeniden üretmesi için yeterlidir.

Tüm bunlardan sonra sayfa hâlâ zaman aşımına uğruyorsa, başka bir kuralı değiştirmeden önce hipervizörde yakalama yapın ve paketi arayın. Asla gelmeyen paket bir yönlendirme veya güvenlik duvarı sorusudur; gelip reddedilen paket bir hizmet veya ilke sorusudur; istemci beklerken gelip yanıtlanan paket bir dönüş yolu sorusudur. strongSwan'ın yönlendirme belgeleri bir Linux ağ geçidinin tünel trafiğini iç bir ana makineye nasıl ilettiğini açıklar. Üç yakalama bir tahminden daha iyidir.