VPN-шлюз VirtualBox для LAN: мост, маршрут, зваротны шлях

Падключыце шлюзавую VM да LAN праз мост, абвясціце LAN кліентам і дадайце маршрут пула ў маршрутызатар LAN. Практычны прыклад IPv4 з сапраўднымі зваротнымі шляхамі.

Аддаленыя карыстальнікі павінны дабрацца да прынтара і файлавага сервера ў фізічнай LAN, а адзіная Linux-машына, якая працуе заўсёды, — гэта віртуальная машына VirtualBox. Падключыць VM да гэтай LAN праз мост — гэта першая палова. Другая палова — зваротны маршрут, які сапраўды будзе выкарыстоўваць кожная прылада ў LAN, і менавіта яго большасць налад губляе. Калі яго няма, тунель падключаецца, кліент пінгуе шлюз, і больш нішто не адказвае.

Выкарыстоўвайце адрасы, да якіх можна дабрацца

Пераключыце LAN-адаптар VM у рэжым Bridged Adapter, дазволены для гэтай сеткі, і выдайце яму адрас праз звычайны працэс размеркавання. Тады VM з'яўляецца ў фізічнай LAN як любы іншы хост. Яго маршрут па змаўчанні павінен па-ранейшаму выкарыстоўваць сапраўдны шлюз, каб шыфраваны транспарт да партнёра VPN заставаўся даступным. Не выкарыстоўвайце адрас VirtualBox NAT па змаўчанні як наступны крок для LAN, бо гэты адрас знаходзіцца за віртуальным NAT і не з'яўляецца on-link для хоста або іншых машын у LAN.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Праверце перакрыццё з хатнімі сеткамі аддаленых карыстальнікаў, перш чым выбіраць пул. Перакрыццё ператвараецца ў неадназначнасць маршрутызацыі, якую не выправіць ніякая налада сервера.

Абвясціце LAN, затым перасылайце

Для сервера, чыя аўтэнтыфікацыя і транспарт ужо кіруюцца, радкі сеткі выглядаюць так. Push паведамляе кліенту, які прымае, як дабрацца да LAN, і сам па сабе ён не прымушае VM нічога перасылаць.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Уключыце перасылку IPv4 у пастаяннай канфігурацыі сеткі VM і дазвольце пулу кліентаў дабрацца да патрэбных службаў LAN на мяжы перасылкі VM. Дазвол на доступ да слухача VPN — асобнае правіла, і яно ўжо працуе, калі тунель падняўся.

Зваротны маршрут належыць маршрутызатару LAN

Прылады LAN адказваюць праз свой шлюз па змаўчанні, а гэта маршрутызатар LAN па адрасе 192.168.70.1. Гэты маршрутызатар не ведае, дзе знаходзіцца 10.80.0.0/24, пакуль яму не скажуць. Дадайце маршрут пула ў падтрыманую пастаянную канфігурацыю маршрутызатара, накіраваўшы яго на LAN-адрас VM. Даданне толькі на хосце VirtualBox выпраўляе шляхі, якія звяртаюцца да гэтага хоста, а гэта не кожная прылада ў LAN.

ip route add 10.80.0.0/24 via 192.168.70.10

Уласны файрвол прызначэння ўсё яшчэ павінен дазваляць пул кліентаў як крыніцу. Маршрут нясе пакет; ён не дае службу.

Калі маршрутызатар LAN нельга змяніць, альтэрнатыва — абмежаваны пераклад крыніцы на VM. Ён вяртае адказы без маршруту і хавае індывідуальныя адрасы кліентаў ад службы LAN.

Прасочыце адзін пакет ад пачатку да канца

Кліент па адрасе 10.80.0.25 адпраўляе на 192.168.70.40 праз тунель. VM перасылае пакет у LAN. Служба адказвае свайму маршрутызатару, які выбірае VM для пула кліентаў, і VM вяртае пакет праз OpenVPN. Кожны крок у гэтым сказе — месца, дзе схема можа зламацца.

Тэстуйце рэальным прыкладаннем з аддаленага кліента, затым паўтарыце пасля перазагрузкі кіраванай канфігурацыі і на VM, і на маршрутызатары.

Калі кліент дабіраецца да VM, але не да службы, спачатку праверце маршрут маршрутызатара. Калі служба атрымлівае запыт, а кліент ніколі не бачыць адказу, падазроны — зваротны шлях.

Падобныя артыкулы