VirtualBox-VPN-gateway vir die LAN: brug, roete, terugkeer

Afgeleë gebruikers moet 'n drukker en 'n lêerbediener op 'n fisiese LAN bereik, en die enigste Linux-boks wat altyd aan is, is 'n VirtualBox-VM. Om die VM op daardie LAN te brug, is die eerste helfte. Die tweede helfte is 'n terugroete wat elke toestel op die LAN werklik sal gebruik, en dit is die deel wat die meeste opstellings mis. Wanneer dit ontbreek, maak die tonnel verbinding, die kliënt ping die gateway, en niks anders antwoord nie.

Gebruik adresse wat bereikbaar is

Stel die VM se LAN-adapter op die Bridged Adapter-koppeling wat vir daardie netwerk goedgekeur is, en gee dit 'n adres deur die normale toekenningsproses. Die VM verskyn dan op die fisiese LAN soos enige ander gasheer. Sy verstekroete moet steeds die werklike gateway gebruik, sodat die versleutelde vervoer na die VPN-eweknie bereikbaar bly. Moenie die verstek VirtualBox NAT-adres as die LAN se volgende sprong gebruik nie, want daardie adres lê agter 'n virtuele NAT en is nie on-link vir die gasheer of vir ander LAN-masjiene nie.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Kontroleer vir oorvleueling met afgeleë gebruikers se tuisnetwerke voordat jy die poel kies. Oorvleueling word 'n roeteringsonduidelikheid wat geen hoeveelheid bedieneropstelling regmaak nie.

Adverteer die LAN, stuur dan aan

Vir 'n bediener wie se verifikasie en vervoer reeds bestuur word, lyk die netwerklyne so. Die push vertel 'n aanvaardende kliënt hoe om die LAN te bereik, en dit maak nie dat die VM self enigiets aanstuur nie.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Aktiveer IPv4-aansturing in die VM se permanente netwerkkonfigurasie, en laat die kliëntpoel toe om die beoogde LAN-dienste by die VM se aansturingsgrens te bereik. Toestemming om die VPN-luisteraar te bereik is 'n aparte reël, en dit werk reeds as die tonnel opgekom het.

Die terugroete hoort op die LAN-router

LAN-toestelle antwoord deur hul verstekgateway, wat die LAN-router by 192.168.70.1 is. Daardie router het geen idee waar 10.80.0.0/24 lê tensy dit ingelig word nie. Voeg die poelroete by die router se ondersteunde permanente konfigurasie, en wys dit na die VM se LAN-adres. Om dit net op die VirtualBox-gasheer by te voeg, herstel paaie wat daardie gasheer raadpleeg, wat nie elke toestel op die LAN is nie.

ip route add 10.80.0.0/24 via 192.168.70.10

Die bestemming se eie firewall moet steeds die kliëntpoel as bron toelaat. 'n Roete dra die pakkie; dit verleen nie die diens nie.

As die LAN-router nie verander kan word nie, is beperkte brontranslasie op die VM die alternatief. Dit laat antwoorde sonder die roete terugkeer, en dit verberg die individuele kliëntadresse vir die LAN-diens.

Volg een pakkie van begin tot einde

'n Kliënt by 10.80.0.25 stuur na 192.168.70.40 deur die tonnel. Die VM stuur die pakkie aan na die LAN. Die diens antwoord na sy router, wat die VM vir die kliëntpoel kies, en die VM stuur die pakkie terug deur OpenVPN. Elke sprong in daardie sin is 'n plek waar die ontwerp kan faal.

Toets met die werklike toepassing vanaf 'n afgeleë kliënt, en herhaal dit nadat jy die bestuurde konfigurasie op beide die VM en die router herlaai het.

As die kliënt die VM kan bereik maar nie die diens nie, kontroleer eers die router se roete. As die diens die versoek ontvang en die kliënt nooit die antwoord sien nie, is die terugpad die verdagte.