Brána VPN ve VirtualBox pro LAN: most, trasa a návrat

Přemostěte bránu VM do LAN, oznamte LAN klientům a přidejte trasu fondu do routeru v LAN. Rozpracovaný příklad IPv4 se skutečnými návratovými cestami.

Vzdálení uživatelé potřebují dosáhnout na tiskárnu a souborový server ve fyzické LAN a jediný nepřetržitě běžící linuxový stroj je virtuální stroj VirtualBox. Přemostění VM do této LAN je první polovina. Druhou polovinou je návratová trasa, kterou skutečně použije každé zařízení v LAN, a právě tu většina instalací vynechá. Když chybí, tunel se spojí, klient pingne bránu a nic dalšího neodpovídá.

Používejte adresy, na které se dá dosáhnout

Nastavte LAN adaptér VM do režimu Bridged Adapter povoleného pro tuto síť a přidělte mu adresu běžným procesem přidělení. VM se pak ve fyzické LAN objeví jako kterýkoli jiný hostitel. Jeho výchozí trasa musí nadále používat skutečnou bránu, aby šifrovaný přenos k protějšku VPN zůstal dostupný. Nepoužívejte výchozí adresu VirtualBox NAT jako další skok pro LAN, protože tato adresa žije za virtuálním NAT a není on-link pro hostitele ani pro ostatní stroje v LAN.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Před volbou fondu zkontrolujte překryv s domácími sítěmi vzdálených uživatelů. Překryv se změní v nejednoznačnost směrování, kterou žádná konfigurace serveru nespraví.

Oznamte LAN a pak přeposílejte

U serveru, jehož autentizace a přenos se už spravují, vypadají síťové řádky takto. Push sdělí přijímajícímu klientovi, jak se dostat do LAN, a sám o sobě nezpůsobí, že by VM něco přeposílala.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Zapněte přeposílání IPv4 v trvalé síťové konfiguraci VM a povolte fondu klientů dosáhnout zamýšlených služeb LAN na hranici přeposílání VM. Povolení k přístupu k naslouchajícímu VPN je samostatné pravidlo a už funguje, pokud se tunel zvedl.

Návratová trasa patří routeru v LAN

Zařízení v LAN odpovídají přes svou výchozí bránu, kterou je router v LAN na 192.168.70.1. Ten router nemá tušení, kde je 10.80.0.0/24, dokud se mu to neřekne. Přidejte trasu fondu do podporované trvalé konfigurace routeru a nasměrujte ji na adresu VM v LAN. Přidání jen na hostiteli VirtualBox opraví cesty, které se ptají tohoto hostitele, což není každé zařízení v LAN.

ip route add 10.80.0.0/24 via 192.168.70.10

Vlastní firewall cíle stále musí povolit fond klientů jako zdroj. Trasa nese paket; nedává službu.

Pokud router v LAN nelze změnit, alternativou je omezený překlad zdroje na VM. Odpovědi se vracejí bez trasy a jednotlivé adresy klientů se před službou v LAN skryjí.

Sledujte jeden paket od začátku do konce

Klient na 10.80.0.25 posílá na 192.168.70.40 tunelem. VM přepošle paket do LAN. Služba odpoví svému routeru, který pro fond klientů vybere VM, a VM vrátí paket přes OpenVPN. Každý skok v této větě je místo, kde může návrh selhat.

Testujte skutečnou aplikací ze vzdáleného klienta a pak to zopakujte po znovunačtení spravované konfigurace na VM i na routeru.

Pokud se klient dostane na VM, ale ne ke službě, zkontrolujte nejprve trasu routeru. Pokud služba požadavek přijme a klient nikdy neuvidí odpověď, podezřelá je návratová cesta.

Související články