Passarel·la VPN de VirtualBox per a la LAN: pont, ruta i tornada

Punteu la VM de passarel·la a la LAN, anuncieu la LAN als clients i afegiu la ruta del pool al router de la LAN. Un exemple IPv4 treballat amb camins de tornada reals.

Els usuaris remots han d’arribar a una impressora i a un servidor de fitxers en una LAN física, i l’únic equip Linux sempre engegat és una VM de VirtualBox. Pontar la VM en aquesta LAN és la primera meitat. La segona meitat és una ruta de tornada que tots els dispositius de la LAN faran servir de debò, i aquesta és la part que més instal·lacions descuiden. Quan falta, el túnel es connecta, el client fa ping a la passarel·la i res més respon.

Feu servir adreces que es puguin assolir

Poseu l’adaptador de LAN de la VM en l’opció Bridged Adapter aprovada per a aquesta xarxa i doneu-li una adreça pel procés habitual d’assignació. Aleshores la VM apareix a la LAN física com qualsevol altre host. La seva ruta per defecte ha de continuar usant la passarel·la real, perquè el transport xifrat fins al parell VPN segueixi sent abastable. No feu servir l’adreça NAT per defecte de VirtualBox com a salt següent de la LAN, perquè aquesta adreça viu darrere d’un NAT virtual i no és on-link per a l’amfitrió ni per als altres equips de la LAN.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Comproveu si hi ha solapament amb les xarxes de casa dels usuaris remots abans de triar el pool. El solapament es converteix en una ambigüitat d’encaminament que cap configuració del servidor no arregla.

Anuncieu la LAN i després reenvieu

Per a un servidor l’autenticació i el transport del qual ja es gestionen, les línies de xarxa són aquestes. El push diu al client que accepta com arribar a la LAN i, per si sol, no fa que la VM reenviï res.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Activeu el reenviament IPv4 a la configuració de xarxa persistent de la VM i permeteu que el pool de clients arribi als serveis de LAN previstos al límit de reenviament de la VM. El permís per arribar a l’oient VPN és una regla a part, i ja funciona si el túnel s’ha aixecat.

La ruta de tornada va al router de la LAN

Els dispositius de la LAN responen per la seva passarel·la per defecte, que és el router de la LAN a 192.168.70.1. Aquest router no té ni idea d’on viu 10.80.0.0/24 si no li ho diuen. Afegiu la ruta del pool a la configuració persistent admesa del router, apuntant a l’adreça de LAN de la VM. Afegir-la només a l’amfitrió de VirtualBox arregla els camins que consulten aquest amfitrió, que no és tots els dispositius de la LAN.

ip route add 10.80.0.0/24 via 192.168.70.10

El tallafoc de la destinació encara ha de permetre el pool de clients com a origen. Una ruta porta el paquet; no atorga el servei.

Si el router de la LAN no es pot canviar, l’alternativa és la traducció d’origen limitada a la VM. Fa que les respostes tornin sense la ruta i amaga les adreces individuals dels clients al servei de la LAN.

Seguiu un paquet de punta a punta

Un client a 10.80.0.25 envia a 192.168.70.40 pel túnel. La VM reenvia el paquet a la LAN. El servei respon al seu router, que tria la VM per al pool de clients, i la VM retorna el paquet per OpenVPN. Cada salt d’aquesta frase és un lloc on el disseny pot fallar.

Proveu-ho amb l’aplicació real des d’un client remot i repetiu-ho després de recarregar la configuració gestionada tant a la VM com al router.

Si el client arriba a la VM però no al servei, reviseu primer la ruta del router. Si el servei rep la petició i el client no veu mai la resposta, el camí de tornada és el sospitós.

Articles relacionats