VPN bật, VM không truy cập được? Nhiều khả năng chưa bao giờ là vấn đề tuyến đường

Kết nối VPN, và VM phát triển vừa trả lời một phút trước bỗng im lặng. Câu chuyện hiển nhiên tự viết ra: đường hầm đã lấy tuyến đường, máy chủ giờ gửi lưu lượng của khách vào mạng doanh nghiệp, và cách sửa là thêm tuyến tĩnh hoặc chuyển bộ điều hợp sang chế độ cầu. Câu chuyện đó đôi khi đúng. Nhưng đó không phải nguyên nhân thường gặp, và hành động theo nó trước tiên thường làm hỏng thứ khác.

Mạng host-only là một mạng phần mềm thuộc sở hữu của máy chủ và được chia sẻ với các khách của nó, tách biệt khỏi mọi kết nối vật lý. Không có gì trong giao diện riêng của ứng dụng khách VPN thay đổi mạng đó, nên trước khi chạm vào nó, hãy tìm ra lớp nào trong bốn lớp đã thực sự hỏng.

Tuyến đường thường vẫn cục bộ

Hỏi nhân thay vì trang đầu của bảng định tuyến. Trên Linux, ip route get 192.168.56.10 báo cáo chính xác tuyến đường, giao diện và địa chỉ nguồn sẽ được dùng, đó là câu trả lời khác với việc đọc tuyến mặc định và đoán. Nếu đầu ra nêu tên giao diện host-only, đường hầm hoàn toàn không tham gia vào đường đó.

Hai điều có thể thực sự phá hỏng nó, và cả hai đều là vấn đề địa chỉ chứ không phải VPN. Một mạng con từ xa trùng với tiền tố host-only khiến tuyến cụ thể hơn thắng, và một ứng dụng khách VPN cài tuyến rộng với số đo thấp hơn có thể kéo tiền tố đi. Cả hai đều thấy được trong cùng một lệnh: giao diện được nêu trong đầu ra sẽ là đường hầm, và việc sửa thuộc về người sở hữu kế hoạch địa chỉ đó.

Chọn tuyến và chấp nhận gói là hai quyết định khác nhau

Đây là phần mà mô hình tư duy thường bỏ sót. Ngay cả với tuyến cục bộ hoàn hảo, ứng dụng khách VPN vẫn có thể từ chối gói. Nhiều ứng dụng khách áp dụng chính sách truy cập mạng cục bộ quyết định đích nào được phép ngoài đường hầm, và một mạng con được kết nối không tự động cập nhật danh sách đó.

Vì vậy sự cố trông giống hệt một vấn đề định tuyến từ phía ứng dụng, và hoàn toàn khác từ phía ứng dụng khách. Nếu ip route get nêu đúng giao diện mà kết nối vẫn hết thời gian, hãy ngừng sửa tuyến và thay vào đó đọc hành vi truy cập cục bộ đã được tài liệu hóa của ứng dụng khách. Một số ứng dụng khách cung cấp danh sách cho phép cho mạng con cục bộ, số khác chặn mọi thứ không phải đường hầm, và số khác chỉ chặn khi công tắc ngắt được bật.

Sự khác biệt đó quan trọng vì các cách sửa không thể hoán đổi cho nhau. Thêm tuyến không thể thỏa mãn một bộ lọc, và tắt bộ lọc để đến một khách duy nhất là quyết định lớn hơn nhiều so với những gì triệu chứng gợi ý.

Khách có ba cách để nói không

Một khách có thể duyệt internet không chứng minh được gì về dịch vụ bạn muốn. Trình lắng nghe có thể bị ràng buộc vào 127.0.0.1 bên trong khách, và khi đó không yêu cầu nào từ máy chủ có thể đến được, dù đường đi tốt đến đâu. Kiểm tra bằng ss -ltn trong khách và nhìn vào cột địa chỉ cục bộ, không chỉ cổng.

Tiếp theo là tường lửa của chính khách. Một ảnh phát triển với mặc định nghiêm ngặt có thể nhận các gói của máy chủ và bỏ chúng ở ranh giới dịch vụ, điều này tạo ra thời gian chờ trông giống hệt một hố đen định tuyến. Cuối cùng là cấu hình của chính dịch vụ: một ứng dụng web bị ràng buộc vào một tên máy chủ cụ thể, hoặc danh sách địa chỉ ứng dụng khách được phép, sẽ từ chối yêu cầu từ mạng con host-only ngay cả khi mọi gói đều đến.

Hãy đi qua ba điểm đó trước khi cân nhắc đổi chế độ mạng của VM. Mỗi điểm là một thay đổi nhỏ hơn việc thiết kế lại kết nối của khách, và mỗi điểm có một phép thử rõ ràng.

Cầu thực sự là gì, và nó tốn bao nhiêu

Chuyển bộ điều hợp sang chế độ cầu không phải là sửa chữa đường host-only. Đó là quyết định đặt khách vào một mạng khác, thường là LAN vật lý, nơi nó trở nên hiển thị với mọi thứ khác sống ở đó. Đó có thể chính là điều bạn muốn. Nhưng đó không phải là điều cấu hình ban đầu đang làm.

Dùng nó khi khách thực sự cần là một thành viên ngang hàng trên LAN đó và việc phơi bày đã được phê duyệt. Đừng dùng nó vì một dịch vụ đã ngừng trả lời, vì thay đổi có thể đưa khách ra khỏi sự cô lập đã khiến việc phát triển dựa trên nó an toàn.

Sau mọi bản sửa đã được phê duyệt, hãy kiểm tra theo một thứ tự cố định: một yêu cầu mới từ máy chủ đến khách, một tài nguyên doanh nghiệp cần thiết qua đường hầm, và hành vi từ chối dự kiến khi đường hầm đã tắt. Nếu điều cuối không còn đúng, bản sửa đã vượt quá vấn đề.

Phần của VirtualBox về mạng host-only mô tả giao diện phần mềm ở phía máy chủ và cách nó khác với kết nối cầu, đây là tài liệu đáng đọc trước khi cho rằng hai chế độ có thể hoán đổi cho nhau.