Jak dosáhnout na soukromou službu přes VPN ve virtuálním počítači

Berte hosta a Mac jako dvě oddělené sítě spojené jedněmi úzkými dveřmi. Virtuální počítač si drží svého klienta VPN i vlastní cestu na internet; Mac dosáhne právě jedné služby přes adaptér jen pro hostitele a jediný přesměrovaný port. Nic jiného nesmí projít. Postupujte podle kroků popořadě a zastavte se, když některý selže, protože každý další krok předpokládá, že předchozí vydržely.

Zapište obě cesty dřív, než cokoli změníte

Na hostu ipconfig /all vypíše adaptér, který nese transport VPN, a adresu, kterou dostal od DHCP virtuální sítě. Na Macu si zapište virtuální rozhraní, které hypervizor pro tento segment vytvořil; u VMware Fusion bývá zařízení jen pro hostitele obvykle vmnet1 a Parallels dává svému vlastní jméno. Všimněte si, kdo tam přiděluje adresy, a pak to všechno zapište, protože podsíť jen pro hostitele se často znovu přiděluje při obnově virtuální sítě. Režim sítě virtuálního počítače kontrolujte v hypervizoru, ne ve své paměti na něj. Sdílený režim nebo režim NAT pro adaptér obrácený k internetu plus režim jen pro hostitele pro adaptér obrácený k Macu je uspořádání, které tyto kroky předpokládají.

Dva adaptéry, dva účely. Smíchat je tak, aby jeden adaptér sloužil Macu i internetu, je to, co z úzkých dveří dělá routovanou cestu.

Nejprve potvrďte vlastní VPN hosta

Spusťte klienta uvnitř Windows a potvrďte, že skončí, jakýmkoli testem, který dodavatel dokumentuje. Nepostupujte dál, dokud se host sám nedostane na soukromou službu, protože problém přesměrování navrstvený na rozbitý tunel má dvě příčiny a žádnou užitečnou chybovou zprávu. Zapište soukromou adresu, na kterou se služba uvnitř hosta překládá. Jen tuto adresu má pravidlo přesměrování uvádět.

Pokud klient protlačuje plný tunel, adaptér jen pro hostitele pořád nese místní provoz, ale ověřte, že soukromé cílové místo není tunelem zachyceno tak, že by se změnila jeho adresa. Profil s rozděleným tunelem to zjednodušuje a stojí za to o něj požádat toho, kdo VPN vlastní.

Přidejte větev jen pro hostitele a otestujte ji samotnou

Připojte k hostu adaptér jen pro hostitele, dejte mu statickou adresu v podsíti, kterou nic jiného nepoužívá, a potvrďte, že na něj Mac umí pingovat. Testujte s připojenou i odpojenou VPN, protože adresa musí vydržet obojí. Host, který odpovídá jen tehdy, když je jeho tunel nahoře, má problém s routováním, který jste ještě nenašli.

Windows může nový adaptér zařadit jako veřejnou síť, což ve výchozím stavu blokuje příchozí provoz. Nastavte profil dřív, než začnete ladit cokoli dalšího.

Přesměrujte jeden port, ne podsíť

Dejte přednost jedinému přesměrovanému portu před obecným přesměrováním IP. Windows dodává netsh interface portproxy, který přesměruje naslouchající port na cílového hosta a port, a potřebuje běžící službu IP Helper.

Vždy nastavte listenaddress na adresu jen pro hostitele. Když ho vynecháte, sváže všechna rozhraní, což vystaví službu kterékoli síti, na níž virtuální počítač zrovna sedí. Přidejte pravidlo firewallu omezené na rozhraní jen pro hostitele a ten jediný port, aby si naslouchač a oprávnění odpovídaly. Aplikace, která rozumí proxy, může místo toho chtít malou proxy uvnitř hosta, která spojení ukončí a nepotřebuje zpětnou trasu k Macu. Vyberte proxy, když to protokol dovolí, protože selhává zavřeně už svou konstrukcí.

Ověřte a potom zapište vrácení

Z Macu přeložte soukromé jméno, proveďte zamýšlenou operaci, potom zastavte VPN hosta a potvrďte, že operace selže, místo aby tiše spadla zpět. Právě ta poslední kontrola dokazuje, že cesta je ta, kterou jste postavili. Zapište, jakou identitu vidí brána a kdo smí přesměrování používat.

Zapište vrácení ve třech krocích: odstraňte záznam portproxy, odstraňte pravidlo firewallu, odpojte adaptér jen pro hostitele. Potom ho jednou spusťte, dřív než ho budete potřebovat, a potvrďte, že vlastní VPN hosta po tom pořád funguje. Pokud vaše organizace vyžaduje, aby se každý Mac registroval samostatně, zastavte se tady a použijte místo toho onen model, protože sdílený bod přesměrování soustřeďuje přístup na jednoho hosta. Ať tak či onak, dejte adresy a port do záznamu o změnách; další člověk je nebude chtít znovu objevovat.