Sådan når du en privat tjeneste gennem en VPN på en virtuel maskine

Behandl gæsten og Mac'en som to adskilte netværk forbundet af én smal dør. Den virtuelle maskine beholder sin VPN-klient og sin egen vej til internettet; Mac'en når præcis én tjeneste gennem en adapter kun til værten og én enkelt videresendt port. Intet andet bør passere. Følg trinnene i rækkefølge, og stop når et af dem fejler, fordi hvert senere trin forudsætter, at de tidligere holdt.

Skriv de to veje ned, før du ændrer noget

På gæsten viser ipconfig /all den adapter, der bærer VPN-transporten, og den adresse, den har fået fra det virtuelle netværks DHCP. På Mac'en skal du notere den virtuelle grænseflade, som hypervisoren oprettede til det segment; med VMware Fusion er enheden kun til værten normalt vmnet1, og Parallels giver sin eget navn. Læg mærke til, hvem der uddeler adresser der, og skriv det hele ned, fordi undernettet kun til værten ofte tildeles på ny, når et virtuelt netværk genskabes. Kontrollér den virtuelle maskines netværkstilstand i hypervisoren i stedet for i din erindring om den. Delt eller NAT-tilstand til den internetvendte adapter plus tilstand kun til værten til den Mac-vendte adapter er den ordning, disse trin forudsætter.

To adaptere, to formål. At blande dem, så én adapter betjener både Mac'en og internettet, er det, der gør en smal dør til en routet vej.

Bekræft først gæstens egen VPN

Start klienten inde i Windows, og bekræft at den afslutter, med hvilken test leverandøren nu dokumenterer. Gå ikke videre, før gæsten alene når den private tjeneste, fordi et videresendelsesproblem oven på en brudt tunnel har to årsager og ingen brugbar fejlmeddelelse. Notér den private adresse, som tjenesten opløses til inde fra gæsten. Den adresse er det eneste, videresendelsesreglen bør nævne.

Hvis klienten skubber en fuld tunnel, bærer adapteren kun til værten stadig lokal trafik, men bekræft, at den private destination ikke fanges af tunnelen på en måde, der ændrer dens adresse. En profil med opdelt tunnel gør dette enklere og er værd at bede om hos den, der ejer VPN'en.

Tilføj benet kun til værten, og test det alene

Tilslut en adapter kun til værten på gæsten, giv den en statisk adresse på et undernet, som intet andet bruger, og bekræft, at Mac'en kan pinge den. Test med VPN'en forbundet og med den afbrudt, fordi adressen skal overleve begge. En gæst, der kun svarer, mens dens tunnel er oppe, har et routingproblem, du endnu ikke har fundet.

Windows kan klassificere den nye adapter som et offentligt netværk, hvilket som standard blokerer indgående trafik. Indstil profilen, før du fejlfinder noget andet.

Videresend én port, ikke undernettet

Foretræk én videresendt port frem for generel IP-videresendelse. Windows leverer netsh interface portproxy, som videresender en lyttende port til en destinationsvært og -port, og det kræver, at tjenesten IP Helper kører.

Sæt altid listenaddress til adressen kun til værten. Udelader du det, bindes alle grænseflader, hvilket blotlægger tjenesten for hvilket netværk, den virtuelle maskine end ligger på. Tilføj en firewallregel afgrænset til grænsefladen kun til værten og den ene port, så lytteren og tilladelsen stemmer overens. Et proxybevidst program vil måske i stedet have en lille proxy inde i gæsten, som afslutter forbindelsen og ikke kræver nogen returvej til Mac'en. Vælg proxyen, når protokollen tillader det, fordi den fejler lukket af sig selv.

Bekræft, og skriv derefter tilbagerulningen

Fra Mac'en skal du opløse det private navn, køre den tilsigtede handling og derefter stoppe gæstens VPN og bekræfte, at handlingen fejler i stedet for lydløst at falde tilbage. Den sidste kontrol er den, der beviser, at vejen er den, du byggede. Notér, hvilken identitet gatewayen ser, og hvem der må bruge videresendelsen.

Skriv tilbagerulningen som tre trin: fjern portproxy-posten, fjern firewallreglen, afmonter adapteren kun til værten. Kør den derefter én gang, før du får brug for den, og bekræft, at gæstens egen VPN stadig virker bagefter. Hvis din organisation kræver, at hver Mac tilmelder sig selvstændigt, så stop her og brug den model i stedet, fordi et fælles videresendelsespunkt samler adgangen på én gæst. Under alle omstændigheder skal du sætte adresserne og porten i ændringsloggen; den næste person vil ikke genopdage dem.