Bir Hyper-V VM ana makinenin VPN'ini kullanır mı? Bu, anahtara bağlıdır

Hyper-V ana makinesine bir VPN istemcisi kurun, orada bir tarayıcı açın ve çıkış adresi değişir; aynı sayfayı VM içinde açın, eski adresi hatta hiçbir şey göstermeyebilir. Olağan sonuç, VM'in bozuk olduğu ya da bölünmüş tünellemenin etkinleştirilmesi gerektiğidir. İkisi de doğru değildir. VPN istemcisi makinenin bir özelliği değildir; bir rota kümesi, sanal bir bağdaştırıcı ve çoğu zaman belirli arabirimlere bağlı bir filtredir. Konuk trafiğinin bu düzeneğe hiç ulaşıp ulaşmadığı, konuğun kullandığı sanal anahtara bağlıdır.

Mit, açıkça söylendiğinde

İnanış, ana makineye kurulan bir VPN'in VM'ler dahil tüm makineyi koruduğudur, çünkü VM o makinede çalışan bir süreçtir. Antivirüs ve ana makine güvenlik duvarları genellikle böyle davrandığı için bu rahat bir inanıştır. Ağ rotaları öyle değildir.

Bir konuğun çerçevesine ana makinenin VPN yığını yalnızca ana makine onu yönlendirir veya filtreler ise dokunur. O cümleyi bir yapışkan nota yazın, çünkü aşağıdaki her durum onun bir çeşididir.

Üç anahtar türü, üç yol

Dış anahtar, sanal bir bağdaştırıcıyı fiziksel bir ağ kartına bağlar ve konuk, çerçeveleri kendi MAC adresiyle bu bağ üzerinden gönderir. Konuk, kendi DHCP kiralaması, geçidi ve DNS sunucularıyla fiziksel ağda eşit bir üye olur. Ana makinenin VPN varsayılan rotası ana makine yığınında yaşar ve bu çerçeveleri taşımaz, çünkü onlar ana makine üzerinden yönlendirilmek yerine köprülenir. Wi-Fi bağdaştırıcısı üzerinden dış anahtarın kötü bir fikir olmasının nedeni de budur: çoğu kablosuz sürücü ikinci bir MAC adresi için çerçeve taşımaz.

İç anahtar, konukları ana makinenin sanal bağdaştırıcısına bağlar. Tek başına internet çıkışı sağlamaz; ana makinedeki bir NAT nesnesi çeviriyi sağlar, ayrıntılar Hyper-V NAT kılavuzunda yer alır. Artık konuğun paketleri ana makinenin yönlendirme ve NAT yoluna girer, bu yüzden VPN istemcisinin rotaları ve filtreleri yeniden önemlidir. VM'in gerçekten ana makine VPN'ini izlediği ve bir kill switch'in konuğu tamamen kesebildiği düzen budur.

Özel anahtarın ana makine bağdaştırıcısı ve üst bağlantısı yoktur. Konuklar yalnızca birbirleriyle konuşur, bu yüzden özel anahtardaki bir VM'in interneti yoksa neden eksik yönlendiricidir ve VPN'in bunda payı yoktur.

Varsayılan Anahtar kendi başına bir düzendir

Windows, iç anahtarı NAT ve bir DNS vekiliyle birleştiren bir Varsayılan Anahtar sunar. Alt ağı ana makine seçer, yeniden başlatmalardan sonra değişebilir ve kendi oluşturduğunuz NAT ağıyla aynı nesne değildir. Onu bir laboratuvar ağıymış gibi yeniden kurmak, insanların iki NAT ve hâlâ rotası olmayan bir konukla kalmasının nedenidir.

VM varsayılan anahtarda oturuyorsa, konuğun aldığı adresi okuyun ve VPN istemcisine dokunmadan önce ana makinenin NAT tablosuyla karşılaştırın. Konuğun geçidi ile NAT öneki arasındaki uyumsuzluk, herhangi bir istemci ayarından daha çok hatayı açıklar.

Soruyu kesinleştiren dört olgu

Herhangi bir şeyi değiştirmeden önce bunları toplayın: anahtar türü ve üst bağlantısı, VM'e bağlı bağdaştırıcı, konuğun kendi adresi, geçidi ve DNS'i, ana makinenin NAT ve varsayılan rota durumu. Salt okunur komutlar Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat ve Get-NetRoute -DestinationPrefix 0.0.0.0/0; konuğun içinde ipconfig /all geri kalanı verir.

Sonra konuğun ne yapması gerektiğine karar verin. VPN'in dışında kalacaksa, sağlayıcıdan tam o yol için desteklenen bir istisna alın, çünkü bir ana makine yürütülebilir dosyasını hariç tutmak iletilen VM trafiğini hariç tutmaz. VPN'i kullanacaksa, ana makinedeki tarayıcı testinin bunu kapsadığını varsaymak yerine istemcinin VM trafiğini belgelenmiş şekilde ele alışını doğrulayın.

Konuğun içindeki bir test, sayılan tek kanıttır. Konuktan çıkış adresini kontrol edin, dahili bir adı çözün, VPN'i yeniden bağlayın ve tekrarlayın. Ana makinenin tarayıcı sonucu bunlardan hiçbirinin yerine geçmez.

Mitin bedeli

İnsanlar yalnızca bir test geçsin diye kill switch'i kapatır, statik rotalar ekler ya da anahtarları silip yeniden oluşturur. Her kısayol arıza biçimini değiştirir: konuk kimsenin amaçlamadığı bir yoldan internete çıkabilir ya da dış anahtar fiziksel bağdaştırıcısını yeniden bağladığında ana makine bağlantısını kaybedebilir.

Dış anahtarın yeniden bağlanması ana makinenin kendi erişimini kesintiye uğratır, bu yüzden bant dışı bir yolu açık tutun ve hâlâ tanılarken anahtarları silmekten kaçının. Doğru sonuç, bir sayfa yüklemesinden alınan yeşil bir onay değil, nasıl yeniden bağlandığı ve nasıl başarısız olduğu dahil amaçlanan konuk yoludur.

Kalıcı yanıt, envanterde her VM için bir satırdır: hangi anahtarı kullanıyor ve geçidini hangi bileşen sağlıyor. Bu yazıya geçtiğinde, sonraki VPN değişikliği bir öğleden sonra tahmin yerine bir arama olur.