Máy ảo Hyper-V có dùng VPN của máy chủ không? Còn tùy vào switch

Cài một ứng dụng VPN trên máy chủ Hyper-V, mở trình duyệt ở đó và địa chỉ ra sẽ thay đổi; mở cùng trang trong máy ảo và nó có thể hiển thị địa chỉ cũ, hoặc không gì cả. Kết luận thường gặp là máy ảo hỏng, hoặc phải bật chia đường hầm. Cả hai đều không đúng. Ứng dụng VPN không phải thuộc tính của máy; nó là một tập hợp tuyến, một bộ điều hợp ảo và thường là một bộ lọc gắn với các giao diện cụ thể. Lưu lượng của khách có bao giờ gặp cơ chế đó hay không tùy thuộc vào switch ảo mà khách dùng.

Huyền thoại, nói thẳng ra

Niềm tin là VPN cài trên máy chủ bảo vệ toàn bộ máy, kể cả máy ảo, vì máy ảo chỉ là một tiến trình chạy trên máy đó. Đó là niềm tin dễ chịu, vì phần mềm diệt virus và tường lửa của máy chủ thường thực sự hành xử như vậy. Các tuyến mạng thì không.

Khung của khách chỉ bị ngăn xếp VPN của máy chủ chạm tới nếu máy chủ định tuyến hoặc lọc nó. Hãy chép câu đó lên giấy ghi chú, vì mọi trường hợp bên dưới đều là một biến thể của nó.

Ba loại switch, ba đường

Switch ngoài gắn một bộ điều hợp ảo vào card mạng vật lý, và khách gửi khung qua mối gắn đó bằng địa chỉ MAC của chính nó. Khách trở thành thành viên ngang hàng trên mạng vật lý, với hợp đồng thuê DHCP, cổng và máy chủ DNS riêng. Tuyến mặc định của VPN trên máy chủ nằm trong ngăn xếp máy chủ và không di chuyển những khung đó, vì chúng được bắc cầu thay vì định tuyến qua máy chủ. Đây cũng là lý do switch ngoài trên bộ điều hợp Wi-Fi là ý tồi: hầu hết trình điều khiển không dây sẽ không mang khung cho địa chỉ MAC thứ hai.

Switch trong nối khách với bộ điều hợp ảo của máy chủ. Tự nó không cung cấp lối ra internet; một đối tượng NAT trên máy chủ cung cấp việc dịch địa chỉ, như được mô tả trong hướng dẫn NAT của Hyper-V. Giờ đây gói của khách đi vào đường định tuyến và NAT của máy chủ, nên các tuyến và bộ lọc của ứng dụng VPN lại quan trọng. Đây là cách bố trí mà máy ảo thực sự theo VPN của máy chủ, và nơi kill switch có thể cắt khách hoàn toàn.

Switch riêng không có bộ điều hợp máy chủ và không có liên kết lên. Khách chỉ nói chuyện với nhau, nên nếu máy ảo trên switch riêng không có internet thì nguyên nhân là router thiếu và VPN không liên quan.

Switch Mặc định là một cách bố trí riêng

Windows cung cấp một Switch Mặc định kết hợp switch trong với NAT và proxy DNS. Mạng con của nó do máy chủ chọn, có thể thay đổi sau khi khởi động lại và không phải cùng một đối tượng với mạng NAT bạn tự tạo. Việc dựng lại nó như thể là mạng phòng thí nghiệm chính là cách người ta kết thúc với hai NAT và một khách vẫn không có tuyến.

Nếu máy ảo nằm trên Switch Mặc định, hãy đọc địa chỉ mà khách nhận được và so với bảng NAT của máy chủ trước khi chạm vào ứng dụng VPN. Sự không khớp giữa cổng của khách và tiền tố NAT giải thích nhiều lỗi hơn bất kỳ cấu hình ứng dụng nào.

Bốn sự thật kết thúc câu hỏi

Thu thập những điều này trước khi thay đổi bất cứ thứ gì: loại switch và liên kết lên của nó, bộ điều hợp gắn với máy ảo, địa chỉ riêng của khách, cổng và DNS, cùng trạng thái NAT và tuyến mặc định của máy chủ. Các lệnh chỉ đọc là Get-VMSwitch, Get-VMNetworkAdapter -VMName "TestVM", Get-NetNat và Get-NetRoute -DestinationPrefix 0.0.0.0/0; bên trong khách, ipconfig /all cho phần còn lại.

Sau đó quyết định khách nên làm gì. Nếu nó nên ở ngoài VPN, hãy lấy từ nhà cung cấp ngoại lệ được hỗ trợ cho đúng tuyến đó, vì loại trừ một tệp thực thi của máy chủ không loại trừ lưu lượng máy ảo được chuyển tiếp. Nếu nó nên dùng VPN, hãy xác nhận cách ứng dụng xử lý lưu lượng máy ảo theo tài liệu thay vì giả định rằng thử nghiệm trên trình duyệt ở máy chủ bao quát điều đó.

Thử nghiệm bên trong khách là bằng chứng duy nhất đáng kể. Kiểm tra địa chỉ ra từ khách, phân giải một tên nội bộ, kết nối lại VPN và lặp lại. Kết quả trình duyệt trên máy chủ không thay thế bất kỳ điều nào trong số đó.

Cái giá của huyền thoại

Người ta tắt kill switch, thêm tuyến tĩnh, hoặc xóa và tạo lại switch chỉ để một thử nghiệm đạt. Mỗi lối tắt thay đổi kiểu hỏng: khách có thể ra internet qua một đường không ai định trước, hoặc máy chủ có thể mất kết nối khi switch ngoài gắn lại bộ điều hợp vật lý của nó.

Việc gắn lại switch ngoài làm gián đoạn truy cập của chính máy chủ, nên hãy để mở một đường ngoài băng và tránh xóa switch khi bạn còn đang chẩn đoán. Kết quả đúng là đường đi dự định của khách, gồm cả cách nó kết nối lại và cách nó hỏng, không phải một dấu tích xanh từ một lần tải trang.

Câu trả lời bền vững là một dòng cho mỗi máy ảo trong danh mục: nó dùng switch nào và thành phần nào cung cấp cổng của nó. Khi điều đó được ghi lại, thay đổi VPN tiếp theo là một lần tra cứu thay vì cả buổi chiều đoán.