Com arribar a un servei privat mitjançant una VPN en una màquina virtual

Tracteu el convidat i el Mac com dues xarxes separades unides per una sola porta estreta. La màquina virtual conserva el seu client VPN i el seu propi camí a internet; el Mac arriba exactament a un servei a través d'un adaptador només per a l'amfitrió i un sol port reenviat. Res més no ha de travessar. Seguiu els passos en ordre i atureu-vos quan un falli, perquè cada pas posterior assumeix que els anteriors s'han mantingut.

Anoteu els dos camins abans de canviar res

Al convidat, ipconfig /all mostra l'adaptador que transporta la VPN i l'adreça que ha rebut del DHCP de la xarxa virtual. Al Mac, anoteu la interfície virtual que l'hipervisor ha creat per a aquest segment; amb VMware Fusion el dispositiu només per a l'amfitrió sol ser vmnet1, i Parallels posa el seu propi nom. Fixeu-vos en qui reparteix les adreces allà, i després escriviu-ho tot, perquè la subxarxa només per a l'amfitrió sovint es reasigna quan es recrea una xarxa virtual. Comproveu el mode de xarxa de la màquina virtual a l'hipervisor, no a la vostra memòria d'aquest. El mode compartit o NAT per a l'adaptador que mira a internet més el mode només per a l'amfitrió per a l'adaptador que mira al Mac és la disposició que aquests passos assumeixen.

Dos adaptadors, dos propòsits. Barrejar-los de manera que un sol adaptador serveixi tant el Mac com internet és el que converteix una porta estreta en un camí encaminat.

Confirmeu primer la VPN pròpia del convidat

Inicieu el client dins de Windows i confirmeu que acaba, amb qualsevol prova que el proveïdor documenti. No avanceu fins que el convidat sol arribi al servei privat, perquè un problema de reenviament sobreposat a un túnel trencat té dues causes i cap missatge d'error útil. Anoteu l'adreça privada a què es resol el servei des de dins del convidat. Aquesta adreça és l'única cosa que la regla de reenviament ha de nomenar.

Si el client empeny un túnel complet, l'adaptador només per a l'amfitrió encara porta trànsit local, però verifiqueu que la destinació privada no quedi capturada pel túnel d'una manera que en canviï l'adreça. Un perfil de túnel dividit ho fa més senzill i val la pena demanar-lo a qui posseeixi la VPN.

Afegiu la pota només per a l'amfitrió i proveu-la sola

Connecteu un adaptador només per a l'amfitrió al convidat, doneu-li una adreça estàtica en una subxarxa que no faci servir res més i confirmeu que el Mac el pot fer ping. Proveu-ho amb la VPN connectada i desconnectada, perquè l'adreça ha de sobreviure a totes dues. Un convidat que només respon mentre el seu túnel està aixecat té un problema d'encaminament que encara no heu trobat.

Windows pot classificar el nou adaptador com a xarxa pública, cosa que bloqueja el trànsit entrant per defecte. Definiu el perfil abans de depurar qualsevol altra cosa.

Reenvieu un port, no la subxarxa

Preferiu un sol port reenviat al reenviament general d'IP. Windows inclou netsh interface portproxy, que reenvia un port d'escolta a un amfitrió i port de destinació, i necessita el servei IP Helper en funcionament.

Definiu sempre listenaddress a l'adreça només per a l'amfitrió. Ometre-ho enllaça totes les interfícies, cosa que exposa el servei a qualsevol xarxa on caigui la màquina virtual. Afegiu una regla de tallafoc limitada a la interfície només per a l'amfitrió i a aquest sol port, per tal que l'oient i el permís coincideixin. Una aplicació que entén de proxys potser voldrà més aviat un proxy petit dins del convidat, que tanca la connexió i no necessita cap ruta de tornada al Mac. Trieu el proxy quan el protocol ho permeti, perquè falla tancat per construcció.

Verifiqueu, i després escriviu la reversió

Des del Mac, resoleu el nom privat, executeu l'operació prevista, i després atureu la VPN del convidat i confirmeu que l'operació falla en lloc de retrocedir en silenci. Aquesta darrera comprovació és la que demostra que el camí és el que heu construït. Anoteu quina identitat veu la passarel·la i qui pot usar el reenviament.

Escriviu la reversió en tres passos: traieu l'entrada de portproxy, traieu la regla de tallafoc, desenganxeu l'adaptador només per a l'amfitrió. Després executeu-la una vegada, abans de necessitar-la, i confirmeu que la VPN pròpia del convidat encara funciona després. Si la vostra organització exigeix que cada Mac es registri de manera independent, atureu-vos aquí i useu aquell model en lloc d'aquest, perquè un punt de reenviament compartit concentra l'accés en un sol convidat. De qualsevol manera, poseu les adreces i el port al registre de canvis; la propera persona no voldrà tornar-les a descobrir.