VMware-Gast im Bridge-Modus verlor nach OpenVPN sein Netzwerk

Ein Gast, der vor einer Stunde überbrückt und erreichbar war, läuft jetzt bei allem in eine Zeitüberschreitung, und niemand hat seine Einstellungen geändert. Auf dem Host funktioniert das Internet weiterhin durch den Tunnel. Beide Tatsachen zusammen weisen weg von der VPN und hin zum Hypervisor, weil Host und Gast nicht mehr denselben Pfad nutzen. Ein einziger neuer virtueller Adapter genügt, um das auszulösen.

Der Gast hat sich nicht geändert, die Bridge schon

Die Installation des OpenVPN-Clients unter Windows fügt einen virtuellen Netzwerkadapter hinzu, an den sich der Dienst bindet, sobald ein Tunnel aufgebaut wird. Für das Betriebssystem sieht er aus wie eine gewöhnliche Schnittstelle mit einem Linkzustand und oft mit eigenen Adressen. Das genügt VMware, um ihn als Bridge-Kandidaten zu behandeln.

VMnet0 steht standardmäßig auf Automatisch, das heißt, der Hypervisor wählt bei jedem Überbrücken einen Host-Adapter aus. Ein frisch installierter virtueller Adapter kommt in diesen Pool, und wird er ausgewählt, geht jeder Frame, den der Gast sendet, an ein Tunnelgerät statt an den physischen Switch-Port.

Die Bridge festnageln oder den Gast routen

Der erste Zweig ist der richtige, wenn der Gast ein gleichberechtigter Teilnehmer im physischen LAN sein soll: Lassen Sie die Bridge nicht mehr wählen, und benennen Sie den Adapter ausdrücklich. Der zweite Zweig gilt, wenn der Gast den Firmentunnel nutzen soll; dann war eine Bridge nie das richtige Design, denn ein überbrückter Gast erbt die VPN-Route des Hosts nicht.

Entscheiden Sie das zuerst, denn die beiden Antworten führen zu unterschiedlicher Arbeit. Die Reihenfolge umzudrehen erzeugt eine korrekt festgelegte Bridge, die an einen Gast gehängt ist, der nie hätte überbrückt werden dürfen.

Öffnen Sie für den ersten Zweig den Virtual Network Editor auf dem Host, wählen Sie VMnet0 und ersetzen Sie Automatisch durch den physischen Adapter. Gibt es mehrere Adapter, nutzen Sie die Liste der automatischen Einstellungen und entfernen Sie die Häkchen bei allem, was niemals Gastverkehr tragen darf: das OpenVPN-TAP- oder Wintun-Gerät sowie Hyper-V-, WSL-, Docker- und Loopback-Adapter. Lassen Sie auf einem Laptop sowohl den kabelgebundenen als auch den drahtlosen physischen Adapter angehakt, sonst verliert der Gast seine Bridge, wenn der Nutzer das nächste Mal andockt.

Drei Bedingungen, die die Wahl entscheiden

Ob eine Bridge überhaupt passt, hängt davon ab, wofür der Gast gedacht ist. Soll der Gast als eigener Host im LAN erscheinen, mit eigener Adresse und eigener eingehender Erreichbarkeit, ist die Bridge das richtige Modell, und das Festnageln ist die ganze Lösung. Braucht der Gast nur ausgehenden Zugriff, ist ein Host-only- oder NAT-Netz einfacher und gegen Adapterwechsel immun.

Soll der Gast denselben Tunnel wie der Host nutzen, hilft weder der Bridge-Modus noch ein festgelegter Adapter, weil der Verkehr des Gasts nie in die Routingentscheidung des Hosts gelangt. Dieser Fall braucht einen gerouteten oder übersetzten Pfad auf dem Host, und die Wahl des Adapters wird belanglos.

VMware Player hat keinen Netzwerkeditor in seiner Oberfläche, ein Host, auf dem nur Player läuft, braucht also den eigenständigen Editor oder eine Workstation-Installation, um diese Einstellungen zu erreichen. Diese Einschränkung entscheidet manchmal von selbst über den Ansatz.

Das Ergebnis im Gast ablesen

Starten Sie die virtuelle NIC neu, oder starten Sie den Gast neu, damit er erneut eine Lease anfordert. Lesen Sie dann, was er tatsächlich erhalten hat, statt was der Host zu konfiguriert zu haben glaubt.

ipconfig /all
ip addr
ip route

Lesen Sie in dieser Ausgabe zwei Felder und ignorieren Sie den Rest vorerst. Das Gateway sollte der LAN-Router sein, und die Adapterbeschreibung sollte das VMware-Ethernet-Gerät nennen und nicht einen Tunnel. Eine selbst vergebene Adresse in 169.254.0.0/16 bedeutet, dass kein DHCP-Server geantwortet hat, und genau so sieht eine Bridge auf einen Tunneladapter von der Gastseite aus.

Eine weitere Unterscheidung lohnt sich, bevor Sie irgendetwas anderes ändern. Ein Gast, der den Router, aber nicht das Internet erreicht, hat eine funktionierende Bridge und ein vorgelagertes Problem. Ein Gast, der eine Adresse im Tunnelbereich erhält, hängt noch am falschen Gerät. Den TAP-Adapter zu deaktivieren ist für keinen der beiden Fälle eine Lösung, weil der OpenVPN-Dienst ihn braucht.