Sdílení VPN relace hostitele s hostem VMware

Adaptér tunelu se nepřipojí do mostu a Windows 10 nesměruje mezi podsítěmi. Host-only segment s NAT nese hosta místo toho.

Váš virtuální stroj nedosáhne na interní systém, který na hostiteli funguje bezchybně, a hostitel je připojen přes klienta, který vlastní směrovací tabulku. Přemostění virtuálního adaptéru do tunelu vypadá samozřejmě a selhává ze dvou oddělených důvodů. Funguje překlad na segmentu, který oba stroje vlastní. Cena je skutečná: každý host ztratí vlastní identitu v podnikové síti.

Dva důvody, proč most nemůže fungovat

Adaptér klienta obvykle nese jednu adresu, často /32, a klient přepisuje trasy hostitele tak, aby běžný odchozí provoz preferoval tunel. Aplikace na hostiteli tu tabulku poslouchají a dosáhnou privátního systému. Přemostěný host tabulku vůbec nečte, protože jeho rámce odcházejí přes přepínač pod vrstvou IP.

Vložení adaptéru tunelu do mostu by cestu teoreticky vyřešilo, ale ovladač to nepřijme. Windows 10 také povoluje jediné mostové zařízení a odpírá roli směrování, která by pracovní stanici umožnila předávat mezi dvěma podsítěmi. Co zbývá, je překlad zdroje. Zařiďte, aby provoz hosta vypadal, že přichází z hostitele, a rozhodnutí samotného hostitele ho zanesou do tunelu, aniž by host potřeboval trasu, kterou mít nemůže.

Vytvořte segment, který hostitel vlastní

V editoru virtuální sítě přidejte host-only síť jako VMnet3 na předponě, kterou nikde jinde nesměrujete, například 172.28.90.0/24. Hostitel si na tom adaptéru vezme 172.28.90.1 a host se připojí ke stejnému přepínači. Vypněte DHCP hypervizoru na tom segmentu, aby ho vlastnila jedna adresní služba.

Ověřte, že Windows rozhraní vidí, než na něm cokoli postavíte, protože celý návrh závisí na tom, že je ten adaptér obyčejný:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

Host-only adaptér se tam objeví jako každý fyzický. Právě v tom je rozdíl oproti adaptéru tunelu, který nelze připojit k ničemu.

Přeložte předponu hosta

Otevřete relaci se zvýšenými právy a předponu přeložte. Nejprve zkontrolujte, co už existuje, protože runtime kontejnerů a hypervizory instalují vlastní překlady a smazání nesprávného rozbije jiný produkt.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Potom hosta nastavte se statickou adresou v této předponě, 172.28.90.1 jako jeho bránou a adresami resolveru, které tunel dává hostiteli. Překlad předává pakety a hosta o DNS nic nenaučí, takže host ponechaný na místním routeru přeloží veřejná jména a na každém interním selže.

Zkontrolujte první skok, pak cenu

Otestujte nejbližší hranici než otestujete aplikaci. Trasa, která se zastaví na bráně hostitele, znamená, že se překlad neděje, zatímco ta, která se zastaví za hostitelem, znamená, že tunel je mimo provoz nebo druhá strana přeloženou adresu odmítla.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Porovnejte s vlastním přístupem hostitele ke stejnému cíli, dokud je tunel aktivní. Pokud hostitel uspěje a host ne, závada je v překladu nebo v nastavení brány hosta, ne ve spojení.

Pak tu výměnu přijměte. Podnikové systémy teď vidí jednu adresu pro každého hosta, takže certifikáty zařízení a kontroly stavu jednotlivých zařízení je nedokážou rozlišit a některé zásady to rovnou zakazují. Rozhodněte i o chování při propadu, protože přeložený provoz může při výpadku tunelu propadnout na běžnou internetovou cestu, pokud tu předponu nezablokujete na firewallu hostitele.

Související články