Om ’n VPN-sessie van die gasheer met ’n VMware-gas te deel

Jou virtuele masjien kan nie ’n interne stelsel bereik wat perfek op die gasheer werk nie, en die gasheer is deur ’n kliënt verbind wat die roetetabel besit. Om die virtuele adapter aan die tonnel te brug lyk voor die hand liggend en misluk om twee afsonderlike redes. Vertaling op ’n segment wat albei masjiene besit, is wat werk. Die prys is werklik: elke gas verloor sy eie identiteit op die korporatiewe netwerk.

Twee redes waarom die brug nie kan werk nie

Die kliënt se adapter dra gewoonlik een adres, dikwels ’n /32, en die kliënt herskryf die gasheer se roetes sodat gewone uitgaande verkeer die tonnel verkies. Toepassings op die gasheer gehoorsaam daardie tabel en bereik die private stelsel. ’n Gebrugde gas lees nooit die tabel nie, want sy rame verlaat deur ’n skakelaar onder die IP-laag.

Om die tonnel-adapter in ’n brug te plaas, sou die pad teoreties oplos, en die drywer sal dit nie aanvaar nie. Windows 10 laat ook net ’n enkele brugtoestel toe en weerhou die roetrol wat ’n werkstasie tussen twee subnetwerke sou laat deurstuur. Wat oorbly, is brontranslating. Laat die gas se verkeer lyk asof dit van die gasheer kom, en die gasheer se eie besluite dra dit in die tonnel in sonder dat die gas ’n roete nodig het wat hy nie kan hê nie.

Skep ’n segment wat die gasheer besit

Voeg in die virtuele netwerkredigeerder ’n host-only-netwerk soos VMnet3 by op ’n voorvoegsel wat jy nêrens anders roeteer nie, byvoorbeeld 172.28.90.0/24. Die gasheer neem 172.28.90.1 op daardie adapter en die gas sluit by dieselfde skakelaar aan. Skakel die hipervisor se DHCP op daardie segment af sodat een adresdiens dit besit.

Bevestig dat Windows die koppelvlak kan sien voordat jy iets daarop bou, want die hele ontwerp hang daarvan af dat daardie adapter gewoon is:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

’n Host-only-adapter verskyn daar soos enige fisiese een. Dit is juis die verskil met die tonnel-adapter, wat nêrens aangeheg kan word nie.

Vertaal die gas se voorvoegsel

Open ’n verhoogde sessie en vertaal die voorvoegsel. Kyk eers wat reeds bestaan, want houerruntime en hipervisors installeer hul eie vertalings en om die verkeerde een te skrap, breek ’n ander produk.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Stel die gas dan op met ’n statiese adres in daardie voorvoegsel, 172.28.90.1 as sy poort, en die omhalser-adresse wat die tonnel aan die gasheer gee. Vertaling stuur pakkette aan en leer die gas niks van DNS nie, so ’n gas wat op die plaaslike roeteerder gelaat word, los openbare name op en misluk op elke interne een.

Kontroleer die eerste hop, dan die prys

Toets die naaste grens voordat jy ’n toepassing toets. ’n Spoor wat by die gasheer se poort stop, beteken vertaling gebeur nie, terwyl een wat anderkant die gasheer stop, beteken die tonnel is af of die oorkant het die vertaalde adres geweier.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Vergelyk met die gasheer se eie toegang tot dieselfde bestemming terwyl die tonnel op is. As die gasheer slaag en die gas nie, lê die fout in vertaling of in die gas se poortinstelling, nie in die verbinding nie.

Aanvaar dan die ruil. Korporatiewe stelsels sien nou een adres vir elke gas, so toestelsertifikate en postuurtoetse per toestel kan hulle nie onderskei nie, en sommige beleide verbied dit heeltemal. Besluit ook oor die valgedrag, want vertaalde verkeer kan na die gewone internetpad deurval wanneer die tonnel faal, tensy jy daardie voorvoegsel by die gasheer se firewall blokkeer.