Як дасягнуць прыватнай службы праз VPN у віртуальнай машыне

Разглядайце гасцявую машыну і Mac як дзве асобныя сеткі, злучаныя адным вузкім праходам. Віртуальная машына захоўвае свой кліент VPN і ўласны шлях у інтэрнэт; Mac дасягае роўна адну службу праз адаптар толькі для хаста і адзін перанакіраваны порт. Нішто іншае не павінна перасякаць гэтую мяжу. Выконвайце крокі па парадку і спыняйцеся, калі які-небудзь не ўдасца, бо кожны наступны крок мяркуе, што папярэднія ўтрымаліся.

Запішыце абодва шляхі перад любымі зменамі

На гасцявой машыне ipconfig /all паказвае адаптар, які нясе транспарт VPN, і адрас, атрыманы ім ад DHCP віртуальнай сеткі. На Mac запішыце віртуальны інтэрфейс, створаны гіпервізарам для гэтага сегмента; у VMware Fusion прылада толькі для хаста звычайна vmnet1, а Parallels дае сваё імя. Звярніце ўвагу, хто выдае там адрасы, затым запішыце ўсё гэта, бо падсетка толькі для хаста часта прызначаецца нанова пры перастварэнні віртуальнай сеткі. Правярайце рэжым сеткі віртуальнай машыны ў гіпервізары, а не ў сваёй памяці пра яго. Агульны рэжым або рэжым NAT для адаптара, накіраванага ў інтэрнэт, плюс рэжым толькі для хаста для адаптара, накіраванага на Mac, — гэта схема, якую мяркуюць гэтыя крокі.

Два адаптары, дзве мэты. Змешванне іх так, што адзін адаптар абслугоўвае і Mac, і інтэрнэт, — гэта тое, што ператварае вузкі праход у маршрутызаваны шлях.

Спачатку пацвердзіце ўласны VPN гасцявой машыны

Запусціце кліент унутры Windows і пацвердзіце, што ён завяршаецца, любым тэстам, які дакументаваў пастаўшчык. Не рухайцеся далей, пакуль гасцявая машына сама не дасягне прыватнай службы, бо праблема перанакіравання, накладзеная на зламаны тунэль, мае дзве прычыны і не дае карыснага паведамлення пра памылку. Запішыце прыватны адрас, у які служба развязаецца знутры гасцявой машыны. Гэты адрас — адзінае, што павінна называць правіла перанакіравання.

Калі кліент прасоўвае поўны тунэль, адаптар толькі для хаста ўсё яшчэ нясе лакальны трафік, але праверце, што прыватнае прызначэнне не захоплена тунэлем так, што змяняе яго адрас. Профіль раздзеленага тунэлявання робіць гэта прасцей і варты таго, каб запытаць яго ў таго, хто валодае VPN.

Дадайце шлях толькі для хаста і праверце яго асобна

Далучыце да гасцявой машыны адаптар толькі для хаста, дайце яму статычны адрас у падсетцы, якую нішто іншае не выкарыстоўвае, і пацвердзіце, што Mac можа пінгаваць яго. Праверце з падключаным VPN і з адключаным, бо адрас мусіць вытрываць абодва. Гасцявая машына, якая адказвае толькі пакуль яе тунэль падняты, мае праблему маршрутызацыі, якую вы яшчэ не знайшлі.

Windows можа класіфікаваць новы адаптар як публічную сетку, што па змаўчанні блакіруе ўваходны трафік. Задайце профіль, перш чым адладжваць што-небудзь іншае.

Перанакіруйце адзін порт, а не падсетку

Аддавайце перавагу аднаму перанакіраванаму порту перад агульным перанакіраваннем IP. Windows пастаўляе netsh interface portproxy, які перанакіроўвае слухаючы порт на мэтавы хост і порт, і патрабуе, каб служба IP Helper працавала.

Заўсёды задавайце listenaddress на адрас толькі для хаста. Калі яго прапусціць, прывязваюцца ўсе інтэрфейсы, што адкрывае службу любой сетцы, у якой апынулася віртуальная машына. Дадайце правіла міжсеткавага экрана, абмежаванае інтэрфейсам толькі для хаста і гэтым адным портам, каб слухач і дазвол супадалі. Праграма, якая ўлічвае проксі, можа замест гэтага пажадаць маленькі проксі ўнутры гасцявой машыны, які завяршае злучэнне і не патрабуе зваротнага маршруту да Mac. Выбірайце проксі, калі пратакол дазваляе, бо ён адмаўляе зачынена па сваёй пабудове.

Праверце, затым запішыце план адкату

З Mac развяжыце прыватнае імя, выканайце патрэбную аперацыю, затым спыніце VPN гасцявой машыны і пацвердзіце, што аперацыя няўдалая, а не ціха адкатваецца. Гэта апошняя праверка і даказвае, што шлях — менавіта той, які вы пабудавалі. Запішыце, якую асобу бачыць шлюз і каму дазволена карыстацца перанакіраваннем.

Запішыце адкат у тры крокі: выдаліце запіс portproxy, выдаліце правіла міжсеткавага экрана, адключыце адаптар толькі для хаста. Затым выканайце яго адзін раз, перш чым ён спатрэбіцца, і пацвердзіце, што ўласны VPN гасцявой машыны пасля гэтага ўсё яшчэ працуе. Калі ваша арганізацыя патрабуе, каб кожны Mac рэгістраваўся асобна, спыніцеся тут і выкарыстайце замест гэтага тую мадэль, бо агульны пункт перанакіравання засяроджвае доступ на адной гасцявой машыне. У любым выпадку ўнясіце адрасы і порт у запіс пра змены; наступны чалавек не пажадае адкрываць іх нанова.