Κοινή χρήση της συνεδρίας VPN του κεντρικού υπολογιστή με φιλοξενούμενο VMware

Η εικονική σας μηχανή δεν φτάνει σε ένα εσωτερικό σύστημα που λειτουργεί άψογα στον κεντρικό υπολογιστή, και ο κεντρικός υπολογιστής είναι συνδεδεμένος μέσω πελάτη που κατέχει τον πίνακα δρομολόγησης. Γεφύρωση του εικονικού προσαρμογέα στη σήραγγα φαίνεται προφανής και αποτυγχάνει για δύο ξεχωριστούς λόγους. Αυτό που δουλεύει είναι η μετάφραση σε ένα τμήμα που κατέχουν και οι δύο μηχανές. Το κόστος είναι πραγματικό: κάθε φιλοξενούμενος χάνει τη δική του ταυτότητα στο εταιρικό δίκτυο.

Δύο λόγοι για τους οποίους η γέφυρα δεν μπορεί να δουλέψει

Ο προσαρμογέας του πελάτη συνήθως φέρει μία διεύθυνση, συχνά /32, και ο πελάτης ξαναγράφει τις διαδρομές του κεντρικού υπολογιστή ώστε η συνήθης εξερχόμενη κίνηση να προτιμά τη σήραγγα. Οι εφαρμογές στον κεντρικό υπολογιστή υπακούν σε αυτόν τον πίνακα και φτάνουν στο ιδιωτικό σύστημα. Ένας φιλοξενούμενος σε γέφυρα δεν διαβάζει καθόλου τον πίνακα, γιατί τα πλαίσιά του βγαίνουν μέσω μεταγωγέα κάτω από το επίπεδο IP.

Το να βάλεις τον προσαρμογέα σήραγγας σε γέφυρα θα έλυνε τη διαδρομή θεωρητικά, και ο οδηγός δεν θα το δεχτεί. Τα Windows 10 επιτρέπουν επίσης μία μόνο συσκευή γέφυρας και αρνούνται τον ρόλο δρομολόγησης που θα άφηνε έναν σταθμό εργασίας να προωθεί ανάμεσα σε δύο υποδίκτυα. Αυτό που μένει είναι η μετάφραση πηγής. Κάντε την κίνηση του φιλοξενούμενου να φαίνεται ότι έρχεται από τον κεντρικό υπολογιστή, και οι αποφάσεις του ίδιου του κεντρικού υπολογιστή τη μεταφέρουν στη σήραγγα χωρίς ο φιλοξενούμενος να χρειάζεται διαδρομή που δεν μπορεί να έχει.

Δημιουργήστε ένα τμήμα που κατέχει ο κεντρικός υπολογιστής

Στον επεξεργαστή εικονικού δικτύου, προσθέστε ένα δίκτυο host-only όπως το VMnet3 σε ένα πρόθεμα που δεν δρομολογείτε πουθενά αλλού, για παράδειγμα 172.28.90.0/24. Ο κεντρικός υπολογιστής παίρνει το 172.28.90.1 σε αυτόν τον προσαρμογέα και ο φιλοξενούμενος συνδέεται στον ίδιο μεταγωγέα. Απενεργοποιήστε το DHCP του hypervisor σε αυτό το τμήμα ώστε να το κατέχει μία υπηρεσία διευθύνσεων.

Επιβεβαιώστε ότι τα Windows βλέπουν τη διεπαφή πριν χτίσετε οτιδήποτε πάνω της, γιατί όλο το σχέδιο εξαρτάται από το ότι αυτός ο προσαρμογέας είναι συνηθισμένος:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

Ένας προσαρμογέας host-only εμφανίζεται εκεί όπως κάθε φυσικός. Ακριβώς αυτή είναι η διαφορά από τον προσαρμογέα σήραγγας, που δεν μπορεί να προσαρτηθεί σε τίποτα.

Μεταφράστε το πρόθεμα του φιλοξενούμενου

Ανοίξτε συνεδρία με αυξημένα δικαιώματα και μεταφράστε το πρόθεμα. Ελέγξτε πρώτα τι υπάρχει ήδη, γιατί τα περιβάλλοντα εκτέλεσης containers και οι hypervisors εγκαθιστούν τις δικές τους μεταφράσεις και η διαγραφή της λάθος χαλάει ένα άλλο προϊόν.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Έπειτα ρυθμίστε τον φιλοξενούμενο με στατική διεύθυνση σε αυτό το πρόθεμα, το 172.28.90.1 ως πύλη του και τις διευθύνσεις resolver που δίνει η σήραγγα στον κεντρικό υπολογιστή. Η μετάφραση προωθεί πακέτα και δεν μαθαίνει τίποτα στον φιλοξενούμενο για το DNS, οπότε ένας φιλοξενούμενος που μένει στον τοπικό δρομολογητή επιλύει δημόσια ονόματα και αποτυγχάνει σε κάθε εσωτερικό.

Ελέγξτε το πρώτο άλμα, μετά το κόστος

Δοκιμάστε το πλησιέστερο όριο πριν δοκιμάσετε μια εφαρμογή. Ένα ίχνος που σταματά στην πύλη του κεντρικού υπολογιστή σημαίνει ότι η μετάφραση δεν συμβαίνει, ενώ ένα που σταματά πέρα από τον κεντρικό υπολογιστή σημαίνει ότι η σήραγγα είναι κάτω ή ότι η απομακρυσμένη πλευρά απέρριψε τη μεταφρασμένη διεύθυνση.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Συγκρίνετε με την πρόσβαση του ίδιου του κεντρικού υπολογιστή στον ίδιο προορισμό όσο η σήραγγα είναι ενεργή. Αν ο κεντρικός υπολογιστής πετυχαίνει και ο φιλοξενούμενος όχι, το σφάλμα βρίσκεται στη μετάφραση ή στη ρύθμιση πύλης του φιλοξενούμενου, όχι στη σύνδεση.

Έπειτα δεχτείτε την ανταλλαγή. Τα εταιρικά συστήματα βλέπουν τώρα μία διεύθυνση για κάθε φιλοξενούμενο, οπότε τα πιστοποιητικά συσκευών και οι έλεγχοι κατάστασης ανά συσκευή δεν μπορούν να τους ξεχωρίσουν, και ορισμένες πολιτικές το απαγορεύουν εντελώς. Αποφασίστε και τη συμπεριφορά απόρριψης, αφού η μεταφρασμένη κίνηση μπορεί να πέσει στην κανονική διαδρομή internet όταν η σήραγγα αποτύχει, εκτός αν μπλοκάρετε αυτό το πρόθεμα στο firewall του κεντρικού υπολογιστή.