Πύλη VPN του VirtualBox για το LAN: γέφυρα, διαδρομή, επιστροφή

Οι απομακρυσμένοι χρήστες πρέπει να φτάνουν σε έναν εκτυπωτή και έναν διακομιστή αρχείων σε ένα φυσικό LAN, και το μόνο μηχάνημα Linux που είναι πάντα ενεργό είναι μια εικονική μηχανή VirtualBox. Η γεφύρωση της VM σε αυτό το LAN είναι το πρώτο μισό. Το δεύτερο μισό είναι μια διαδρομή επιστροφής που θα χρησιμοποιήσει πραγματικά κάθε συσκευή στο LAN, και αυτό είναι το μέρος που χάνουν οι περισσότερες εγκαταστάσεις. Όταν λείπει, η σήραγγα συνδέεται, ο πελάτης κάνει ping στην πύλη και τίποτα άλλο δεν απαντά.

Χρησιμοποιήστε διευθύνσεις που είναι προσβάσιμες

Ρυθμίστε τον προσαρμογέα LAN της VM στη λειτουργία Bridged Adapter που έχει εγκριθεί για αυτό το δίκτυο και δώστε του διεύθυνση μέσω της συνήθους διαδικασίας εκχώρησης. Τότε η VM εμφανίζεται στο φυσικό LAN όπως οποιοσδήποτε άλλος κεντρικός υπολογιστής. Η προεπιλεγμένη διαδρομή της πρέπει να συνεχίσει να χρησιμοποιεί την πραγματική πύλη, ώστε η κρυπτογραφημένη μεταφορά προς τον ομότιμο VPN να παραμένει προσβάσιμη. Μη χρησιμοποιείτε την προεπιλεγμένη διεύθυνση NAT του VirtualBox ως επόμενο άλμα για το LAN, γιατί αυτή η διεύθυνση ζει πίσω από ένα εικονικό NAT και δεν είναι on-link για τον κεντρικό υπολογιστή ούτε για τα άλλα μηχανήματα του LAN.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Ελέγξτε για επικάλυψη με τα οικιακά δίκτυα των απομακρυσμένων χρηστών πριν επιλέξετε το σύνολο διευθύνσεων. Η επικάλυψη μετατρέπεται σε ασάφεια δρομολόγησης που καμία ρύθμιση διακομιστή δεν διορθώνει.

Ανακοινώστε το LAN και μετά προωθήστε

Για έναν διακομιστή του οποίου η αυθεντικοποίηση και η μεταφορά διαχειρίζονται ήδη, οι γραμμές δικτύου έχουν ως εξής. Το push λέει στον πελάτη που δέχεται πώς να φτάσει στο LAN και από μόνο του δεν κάνει τη VM να προωθεί τίποτα.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Ενεργοποιήστε την προώθηση IPv4 στη μόνιμη διαμόρφωση δικτύου της VM και επιτρέψτε στο σύνολο πελατών να φτάνει τις προβλεπόμενες υπηρεσίες LAN στο όριο προώθησης της VM. Η άδεια πρόσβασης στον ακροατή VPN είναι ξεχωριστός κανόνας και ήδη λειτουργεί αν η σήραγγα σηκώθηκε.

Η διαδρομή επιστροφής ανήκει στον δρομολογητή του LAN

Οι συσκευές του LAN απαντούν μέσω της προεπιλεγμένης πύλης τους, που είναι ο δρομολογητής του LAN στη διεύθυνση 192.168.70.1. Αυτός ο δρομολογητής δεν έχει ιδέα πού βρίσκεται το 10.80.0.0/24 αν δεν του το πουν. Προσθέστε τη διαδρομή του συνόλου στη υποστηριζόμενη μόνιμη διαμόρφωση του δρομολογητή, με κατεύθυνση τη διεύθυνση LAN της VM. Η προσθήκη μόνο στον κεντρικό υπολογιστή VirtualBox διορθώνει διαδρομές που συμβουλεύονται αυτόν τον υπολογιστή, και αυτό δεν είναι κάθε συσκευή στο LAN.

ip route add 10.80.0.0/24 via 192.168.70.10

Το δικό του τείχος προστασίας του προορισμού πρέπει ακόμη να επιτρέπει το σύνολο πελατών ως πηγή. Μια διαδρομή μεταφέρει το πακέτο· δεν παρέχει την υπηρεσία.

Αν ο δρομολογητής του LAN δεν μπορεί να αλλάξει, η εναλλακτική είναι περιορισμένη μετάφραση πηγής στη VM. Κάνει τις απαντήσεις να επιστρέφουν χωρίς τη διαδρομή και κρύβει τις μεμονωμένες διευθύνσεις πελατών από την υπηρεσία του LAN.

Ακολουθήστε ένα πακέτο από άκρη σε άκρη

Ένας πελάτης στη 10.80.0.25 στέλνει στη 192.168.70.40 μέσω της σήραγγας. Η VM προωθεί το πακέτο στο LAN. Η υπηρεσία απαντά στον δρομολογητή της, ο οποίος επιλέγει τη VM για το σύνολο πελατών, και η VM επιστρέφει το πακέτο μέσω OpenVPN. Κάθε άλμα σε αυτή την πρόταση είναι ένα σημείο όπου το σχέδιο μπορεί να αποτύχει.

Δοκιμάστε με την πραγματική εφαρμογή από απομακρυσμένο πελάτη και επαναλάβετε αφού φορτώσετε ξανά τη διαχειριζόμενη διαμόρφωση τόσο στη VM όσο και στον δρομολογητή.

Αν ο πελάτης φτάνει τη VM αλλά όχι την υπηρεσία, ελέγξτε πρώτα τη διαδρομή του δρομολογητή. Αν η υπηρεσία λαμβάνει το αίτημα και ο πελάτης δεν βλέπει ποτέ την απάντηση, ύποπτη είναι η διαδρομή επιστροφής.