VirtualBox VPN-gateway til LAN: bro, rute, retur

Fjernbrugere skal kunne nå en printer og en filserver på et fysisk LAN, og den eneste Linux-boks, der altid kører, er en VirtualBox-VM. At bro VM'en ind på det LAN er den første halvdel. Den anden halvdel er en returrute, som hver enhed på LAN'et faktisk vil bruge, og det er den del, de fleste opsætninger misser. Når den mangler, opretter tunnelen forbindelse, klienten pinger gatewayen, og intet andet svarer.

Brug adresser, der kan nås

Sæt VM'ens LAN-adapter til den Bridged Adapter-tilslutning, der er godkendt til netværket, og giv den en adresse gennem den normale tildelingsproces. Så vises VM'en på det fysiske LAN som enhver anden vært. Dens standardrute skal stadig bruge den rigtige gateway, så den krypterede transport til VPN-peer'en forbliver tilgængelig. Brug ikke VirtualBox' standard-NAT-adresse som næste hop for LAN'et, for den adresse ligger bag en virtuel NAT og er ikke on-link for værten eller for andre maskiner på LAN'et.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Tjek for overlap med fjernbrugernes hjemmenetværk, før du vælger puljen. Et overlap bliver til en routingtvetydighed, som ingen serverkonfiguration retter.

Annoncér LAN'et, og videresend derefter

For en server, hvis godkendelse og transport allerede administreres, ser netværkslinjerne sådan ud. Push'et fortæller en accepterende klient, hvordan den når LAN'et, og det får ikke i sig selv VM'en til at videresende noget.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Aktivér IPv4-videresendelse i VM'ens vedvarende netværkskonfiguration, og tillad klientpuljen at nå de tilsigtede LAN-tjenester ved VM'ens videresendelsesgrænse. Tilladelse til at nå VPN-lytteren er en separat regel, og den virker allerede, hvis tunnelen kom op.

Returruten hører til på LAN-routeren

Enheder på LAN'et svarer gennem deres standardgateway, som er LAN-routeren på 192.168.70.1. Den router aner ikke, hvor 10.80.0.0/24 bor, medmindre den får det at vide. Føj puljens rute til routerens understøttede vedvarende konfiguration, og peg den mod VM'ens LAN-adresse. At føje den til kun på VirtualBox-værten reparerer stier, der spørger den vært, og det er ikke hver enhed på LAN'et.

ip route add 10.80.0.0/24 via 192.168.70.10

Destinations egen firewall skal stadig tillade klientpuljen som kilde. En rute bærer pakken; den giver ikke tjenesten.

Hvis LAN-routeren ikke kan ændres, er begrænset kildeoversættelse på VM'en alternativet. Det får svar til at vende tilbage uden ruten, og det skjuler de enkelte klientadresser for LAN-tjenesten.

Følg én pakke fra ende til anden

En klient på 10.80.0.25 sender til 192.168.70.40 gennem tunnelen. VM'en videresender pakken til LAN'et. Tjenesten svarer sin router, som vælger VM'en til klientpuljen, og VM'en sender pakken tilbage gennem OpenVPN. Hvert hop i den sætning er et sted, hvor designet kan svigte.

Test med den rigtige applikation fra en fjernklient, og gentag derefter efter genindlæsning af den administrerede konfiguration på både VM'en og routeren.

Hvis klienten kan nå VM'en men ikke tjenesten, skal du først tjekke routerens rute. Hvis tjenesten modtager anmodningen, og klienten aldrig ser svaret, er returvejen den mistænkte.