Eine VPN-Sitzung des Hosts mit einem VMware-Gast teilen

Ein Tunneladapter tritt keinem Bridge-Verbund bei, und Windows 10 leitet nicht zwischen Subnetzen weiter. Ein host-only Segment mit NAT trägt den Gast stattdessen.

Ihre virtuelle Maschine erreicht ein internes System nicht, das auf dem Host einwandfrei funktioniert, und der Host ist über einen Client verbunden, der die Routing-Tabelle besitzt. Den virtuellen Adapter an den Tunnel brücken wirkt naheliegend und scheitert aus zwei getrennten Gründen. Was funktioniert, ist Übersetzung auf einem Segment, das beide Maschinen besitzen. Der Preis ist real: jeder Gast verliert seine eigene Identität im Unternehmensnetz.

Zwei Gründe, warum die Bridge nicht funktionieren kann

Der Adapter des Clients trägt meist eine einzige Adresse, oft eine /32, und der Client schreibt die Routen des Hosts so um, dass gewöhnlicher ausgehender Verkehr den Tunnel bevorzugt. Anwendungen auf dem Host folgen dieser Tabelle und erreichen das private System. Ein gebrückter Gast liest die Tabelle überhaupt nicht, weil seine Frames über einen Switch unterhalb der IP-Schicht hinausgehen.

Den Tunneladapter in eine Bridge zu legen, würde den Pfad theoretisch lösen, und der Treiber nimmt es nicht an. Windows 10 erlaubt zudem nur ein Bridge-Gerät und verweigert die Routing-Rolle, die eine Workstation zwischen zwei Subnetzen weiterleiten ließe. Was bleibt, ist Quellübersetzung. Lassen Sie den Verkehr des Gasts so erscheinen, als käme er vom Host, und die Entscheidungen des Hosts selbst tragen ihn in den Tunnel, ohne dass der Gast eine Route braucht, die er nicht haben kann.

Ein Segment anlegen, das der Host besitzt

Fügen Sie im Editor für virtuelle Netzwerke ein host-only Netzwerk wie VMnet3 auf einem Präfix hinzu, das Sie nirgends sonst routen, zum Beispiel 172.28.90.0/24. Der Host nimmt 172.28.90.1 auf diesem Adapter, und der Gast hängt am selben Switch. Deaktivieren Sie das DHCP des Hypervisors auf diesem Segment, damit ein einziger Adressdienst es besitzt.

Bestätigen Sie, dass Windows die Schnittstelle sieht, bevor Sie etwas darauf aufbauen, denn das ganze Design hängt davon ab, dass dieser Adapter gewöhnlich ist:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

Ein host-only Adapter erscheint dort wie jeder physische. Genau das ist der Unterschied zum Tunneladapter, der an nichts angehängt werden kann.

Das Präfix des Gasts übersetzen

Öffnen Sie eine erhöhte Sitzung und übersetzen Sie das Präfix. Prüfen Sie zuerst, was bereits existiert, denn Container-Runtimes und Hypervisor installieren eigene Übersetzungen, und die falsche zu löschen bricht ein anderes Produkt.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Konfigurieren Sie den Gast dann mit einer statischen Adresse in diesem Präfix, 172.28.90.1 als Gateway und den Resolver-Adressen, die der Tunnel dem Host gibt. Übersetzung leitet Pakete weiter und lehrt den Gast nichts über DNS, daher löst ein Gast, der am lokalen Router bleibt, öffentliche Namen auf und scheitert an jedem internen.

Erst den ersten Hop prüfen, dann den Preis

Die nächste Grenze testen bevor Sie eine Anwendung testen. Ein Trace, der am Gateway des Hosts endet, bedeutet, dass keine Übersetzung stattfindet, während einer, der jenseits des Hosts endet, bedeutet, dass der Tunnel down ist oder die Gegenseite die übersetzte Adresse abgelehnt hat.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Vergleichen Sie mit dem eigenen Zugriff des Hosts auf dasselbe Ziel, solange der Tunnel steht. Gelingt es dem Host und dem Gast nicht, liegt der Fehler in der Übersetzung oder in der Gateway-Einstellung des Gasts, nicht in der Verbindung.

Akzeptieren Sie dann den Tausch. Unternehmenssysteme sehen jetzt eine Adresse für jeden Gast, sodass Gerätezertifikate und Posture-Prüfungen pro Gerät sie nicht unterscheiden können, und manche Richtlinien verbieten das rundweg. Legen Sie auch das Drop-Verhalten fest, denn übersetzter Verkehr kann auf den gewöhnlichen Internetpfad durchfallen, wenn der Tunnel ausfällt, sofern Sie dieses Präfix nicht an der Firewall des Hosts blockieren.

Ähnliche Artikel