Uy laboratoriyasidagi gipervizorga VPN orqali kirib bo'lmayapti: qayerga qarash kerak

Tunnel ko'tariladi, gipervizorning veb-sahifasi vaqt tugab qoladi, mijoz esa ulanganini aytadi. Bu birikma hayratlanarli darajada ko'p narsani istisno qiladi: VPN qo'l berib ko'rishishi ishlaydi, mijozda manzil bor va oxirgi nuqtaga yetib bo'ladi. Qolgan narsa marshrutlash va siyosat bo'yicha qisqa savollar ro'yxati bo'lib, ularning tabiiy tartibi bor. Ularni mijozdan ichkariga emas, gipervizordan tashqariga qarab ishlang, chunki gipervizorning o'z holatini tasdiqlash eng arzon ish.

Boshqaruv segmentidan boshlang

Gipervizorning boshqaruv manzili va unda tinglayotgan xizmatni tasdiqlang, shuningdek har qanday masofaviy diagnostikadan oldin sahifa o'sha segmentdagi boshqa xostdan yuklanishini tasdiqlang. Muvaffaqiyatsiz mahalliy test VPN muammosi emas va bu bir soatni tejaydigan besh daqiqalik tekshiruv.

Keyin ikki yo'l. VPN mijozi boshqaruv tarmog'iga marshrut kerak, bu odatda mijozning AllowedIPs yoki surilgan marshrutlar o'sha quyi tarmoqni o'z ichiga olishini bildiradi. Gipervizor yoki uning standart shlyuzi mijoz manzillari hovuziga qaytish yo'liga muhtoj, agar dizayn kirishda manbani qasddan tarjima qilmasa. Bu ikki alohida fakt va ikkalasidan birining yo'qligi bir xil vaqt tugashini beradi. Ularni alohida tekshiring: mijozda ip route get 192.168.10.20 va paket umuman yetib kelganini ko'rsatadigan gipervizor xostidagi ushlash.

Haqiqiy masofaviy administratorga ruxsat bering

Avtorizatsiya kirish imkoniyatidan alohida savol. Shlyuz va xost siyosatini boshqaruv ruxsati kerak bo'lgan manbalar va xizmatlar bilan cheklang. Bitta laboratoriya ilovasi kerak bo'lgan mehmon VPN hisobi shu bilan boshqaruv tekisligiga yetib bormasligi kerak, butun tunnel quyi tarmog'ini qabul qiladigan tekis qoida esa bu shunday sodir bo'ladigan yo'l.

Gipervizorning o'z autentifikatsiyasi va sertifikat tekshiruvlarini yoqilgan holda qoldiring. Xususiy marshrut kutilmagan identifikatsiya ogohlantirishidan o'tish uchun sabab emas.

Ogohlantirishni to'siq emas, topilma sifatida ko'rib chiqishga arziydi. Agar sertifikat siz ishlatgan nomga mos kelmasa, yo nom noto'g'ri yoki xizmat siz o'ylagan narsa emas, va ikkala javob ham boshqaruv interfeysida boshqa joydagidan muhimroq. Sahifaga sertifikat berilgan nom bilan yeting va DNS o'sha nomni tunnel manziliga ko'rsatsin. LAN va tunnel o'rtasida mos kelmaydigan tarzda hal qilinadigan xususiy nom VPN nosozliklariga o'xshaydigan sertifikat shikoyatlarining keng tarqalgan sababi.

Ikkilamchi ulanishlarni tekshiring

Ba'zi funksiyalar veb-sahifa ishlatmaydigan ulanishlardan foydalanadi. Konsol sessiyasi, ISO yuklash, VNC yoki SPICE proksisi va migratsiya kanali har biri boshqa port yoki boshqa xost manzilidan foydalanishi mumkin. Sahifa yuklanib, bitta funksiya ishlamay qolsa, xostdagi har bir portni ochish o'rniga o'sha mahsulot talabini o'qing.

Hammasini ochish boshqaruv interfeysining boshqarilmaydigan interfeysga aylanish yo'lidir. Har bir qo'shimcha port yamoq bilan saqlanishi kerak bo'lgan yana bir tinglovchi, va gipervizor ulardan yetarlicha ochib qo'yadi. Funksiyaga kerakli aniq ulanishni aniqlang, uning tunnel orqali yetib borishini tasdiqlang va qolganini yopiq qoldiring. Agar funksiya tunnelingiz orqali marshrutlanmaydigan xost manziliga to'g'ridan-to'g'ri ulanishni talab qilsa, bu qasddan chetlab o'tilishi kerak bo'lgan dizayn cheklovi, diapazonni yo'naltirish uchun sabab emas.

Tarmoqqa tegishdan oldin qaytish yo'lini saqlang

O'z VPN-ingizni tashuvchi virtual tarmoqni o'zgartirishdan oldin mahalliy yoki mustaqil qaytish yo'lingiz borligini tasdiqlang.

Bu uy laboratoriyasida eng muhim, chunki VPN oxirgi nuqtasi ko'pincha siz yetib bormoqchi bo'lgan gipervizorning o'zidagi virtual mashina. Virtual kommutator, ko'prik yoki tarmoq ekrani qoidasini masofadan o'zgartirish ishlatayotgan yo'lingizni olib tashlashi mumkin, va sessiya buni ko'rish uchun yetarlicha uzoq yashashi mumkin.

LANdan emas, laboratoriya tashqarisidan sinab ko'ring, va ruxsatlar bilan birga rad javoblarini ham tekshiring. Tunneldan yetib bo'lmaydigan bo'lib qolishi kerak bo'lgan tarmoq o'zgarishingizdan keyin ham shunday qolishi kerak, va bu boshqaruv sahifasi yuklanishidan alohida da'vo. Ikkala natijani ham yozib qo'ying, chunki ikkinchisi o'tkazib yuboriladi va laboratoriya o'sganda aynan shu muhim bo'ladi.

Saqlanadigan yozuv qisqa: boshqaruv manzili va xizmati, har bir tomonga kerakli marshrut, yetib borishga ruxsat berilgan identifikatsiyalar va tiklash yo'li. Bu keyingi odamga ishlaydigan holatni qaytadan keltirmasdan takrorlash uchun yetarli.

Shundan keyin ham sahifa vaqt tugasa, yana bir qoidani o'zgartirishdan oldin gipervizorda ushlash qiling va paketni qidiring. Hech qachon kelmaydigan paket marshrutlash yoki tarmoq ekrani savoli; kelib rad etiladigan paket xizmat yoki siyosat savoli; mijoz kutib turganda kelib javob oladigan paket qaytish yo'li savoli. strongSwan-ning yo'naltirish hujjatlari Linux shlyuzi tunnel trafigini ichki xostga qanday yo'naltirishini tushuntiradi. Uch ushlash yana bitta taxmindan yaxshiroq.