VPN açık, VM ulaşılamaz mı? Sorun muhtemelen hiç rota değildi
Tüneli host-only ağındaki bir konuğu gizlemekle suçladınız. Genellikle yol yerel kalır ve engelleyen istemci filtresi ya da dinleme adresidir.
VPN'i bağlayın, bir dakika önce yanıt veren geliştirme VM'i susar. Bariz hikâye kendini yazar: tünel rotayı aldı, ana makine artık konuk trafiğini kurumsal ağa gönderiyor ve çözüm statik bir rota eklemek ya da bağdaştırıcıyı köprü moduna almak. Bu hikâye bazen doğrudur. Ama olağan neden bu değildir ve önce ona göre davranmak genellikle başka bir şeyi bozar.
Host-only ağ, ana makinenin sahip olduğu ve konuklarıyla paylaştığı, herhangi bir fiziksel bağlantıdan ayrı bir yazılım ağıdır. VPN istemcisinin kendi arayüzünde hiçbir şey bu ağı değiştirmez, bu yüzden ona dokunmadan önce dört katmandan hangisinin gerçekten başarısız olduğunu öğrenin.
Rota genellikle hâlâ yereldir
Yönlendirme tablosunun ilk sayfası yerine çekirdeğe sorun. Linux'ta ip route get 192.168.56.10 kullanılacak tam rotayı, arayüzü ve kaynak adresi bildirir; bu, varsayılan bir rotayı okuyup tahmin etmekten farklı bir yanıttır. Çıktı host-only arayüzünü adlandırıyorsa tünel o yolda hiç yer almıyor demektir.
İki şey onu gerçekten bozabilir ve ikisi de VPN değil adres sorunudur. Host-only önekiyle çakışan uzak bir alt ağ, daha belirgin rotanın kazanmasını sağlar ve daha düşük metrikle geniş bir rota kuran VPN istemcisi öneki çekip alabilir. İkisi de aynı komutta görünür: çıktıda adı geçen arayüz tünel olacaktır ve düzeltme o adres planının sahibine aittir.
Rota seçimi ve paket kabulü iki farklı karardır
Bu, zihinsel modelin genellikle atladığı kısımdır. Kusursuz bir yerel rotayla bile VPN istemcisi paketi reddedebilir. Birçok istemci, tünelin dışında hangi hedeflere izin verileceğine karar veren yerel ağ erişim politikası uygular ve bağlı bir alt ağ bu listeyi otomatik olarak güncellemez.
Bu yüzden arıza uygulama tarafından yönlendirme sorunuyla aynı görünür, istemci tarafından ise tamamen farklı. ip route get doğru arayüzü adlandırıyor ama bağlantı hâlâ zaman aşımına uğruyorsa rotaları düzenlemeyi bırakın ve bunun yerine istemcinin belgelenmiş yerel erişim davranışını okuyun. Bazı istemciler yerel alt ağlar için bir izin listesi sunar, bazıları tünel olmayan her şeyi engeller, bazıları ise yalnızca kill switch etkinken engeller.
Bu ayrım önemlidir çünkü düzeltmeler birbirinin yerine geçmez. Rota eklemek bir filtreyi tatmin edemez ve tek bir konuğa ulaşmak için filtreyi kapatmak semptomun ima ettiğinden çok daha büyük bir karardır.
Konuğun hayır demenin üç yolu vardır
İnternette gezinebilen bir konuk, istediğiniz hizmet hakkında hiçbir şey kanıtlamamıştır. Dinleyici konuğun içinde 127.0.0.1 adresine bağlı olabilir ve o durumda yol ne kadar iyi olursa olsun ana makineden hiçbir istek ulaşamaz. Konukta ss -ltn ile kontrol edin ve yalnızca bağlantı noktasına değil yerel adres sütununa bakın.
Sıradaki konuğun kendi güvenlik duvarıdır. Katı bir varsayılana sahip geliştirme imajı ana makinenin paketlerini kabul edip hizmet sınırında düşürebilir, bu da yönlendirme kara deliğine tıpatıp benzeyen bir zaman aşımı üretir. Son olarak hizmetin kendi yapılandırması vardır: belirli bir ana makine adına bağlı bir web uygulaması ya da izin verilen istemci adresleri listesi, her paket gelse bile host-only alt ağından gelen isteği reddeder.
VM'nin ağ modunu değiştirmeyi düşünmeden önce bu üçünü gözden geçirin. Her biri konuğun bağlantısını yeniden tasarlamaktan daha küçük bir değişikliktir ve her birinin net bir testi vardır.
Köprü gerçekte nedir ve neye mal olur
Bağdaştırıcıyı köprü moduna almak host-only yolunun onarımı değildir. Bu, konuğu başka bir ağa, genellikle fiziksel LAN'a yerleştirme kararıdır; orada yaşayan diğer her şeye görünür hale gelir. Tam olarak istediğiniz şey bu olabilir. Ama asıl yapılandırmanın yaptığı şey bu değildi.
Konuk gerçekten o LAN'da eşit bir üye olması gerektiğinde ve maruz kalma onaylandığında kullanın. Tek bir hizmet yanıt vermeyi bıraktı diye kullanmayın, çünkü değişiklik konuğu onun aleyhine geliştirmeyi güvenli kılan yalıtımdan çıkarabilir.
Onaylanan her düzeltmeden sonra sabit bir sırayla test edin: ana makineden konuğa yeni bir istek, tünel üzerinden gerekli bir kurumsal kaynak ve tünel kapalıyken amaçlanan reddetme davranışı. Sonuncusu artık geçerli değilse düzeltme sorunun ötesine geçmiştir.
VirtualBox'ın host-only ağ ile ilgili bölümü, ana makine tarafındaki yazılım arayüzünü ve köprü bağlantısından nasıl farklı olduğunu açıklar; iki modun birbirinin yerine geçebileceğini varsaymadan önce okunmaya değer kaynak budur.