Kiel atingi privatan servon per VPN en virtuala maŝino

Traktu la gaston kaj la Mac kiel du apartajn retojn kunligitajn de unu mallarĝa pordo. La virtuala maŝino gardas sian VPN-klienton kaj sian propran vojon al la interreto; la Mac atingas precize unu servon per adaptilo nur por la gastiganto kaj unu plusendita pordo. Nenio alia rajtas transpasi. Sekvu la paŝojn laŭvice kaj haltu kiam unu malsukcesas, ĉar ĉiu posta paŝo supozas, ke la antaŭaj teniĝis.

Notu la du vojojn antaŭ ol ŝanĝi ion ajn

Ĉe la gasto, ipconfig /all montras la adaptilon, kiu portas la VPN-transporton, kaj la adreson, kiun ĝi ricevis de la DHCP de la virtuala reto. Ĉe la Mac, notu la virtualan interfacon, kiun la hipervidilo kreis por tiu segmento; kun VMware Fusion la aparato nur por la gastiganto kutime estas vmnet1, kaj Parallels donas sian propran nomon. Rimarku, kiu disdonas adresojn tie, poste skribu ĉion, ĉar la subreto nur por la gastiganto ofte reasigniĝas kiam virtuala reto rekreĝas. Kontrolu la retreĝimon de la virtuala maŝino en la hipervidilo, ne en via memoro pri ĝi. Komunigita aŭ NAT-reĝimo por la interret-alvizaĝa adaptilo plus reĝimo nur por la gastiganto por la Mac-alvizaĝa adaptilo estas la aranĝo, kiun ĉi tiuj paŝoj supozas.

Du adaptiloj, du celoj. Miksi ilin tiel, ke unu adaptilo servu kaj la Mac kaj la interreton, estas tio, kio ŝanĝas mallarĝan pordon en enkursigitan vojon.

Unue konfirmu la propran VPN de la gasto

Startigu la klienton ene de Windows kaj konfirmu, ke ĝi finiĝas, per kiu ajn testo la vendanto dokumentas. Ne antaŭeniru ĝis la gasto sola atingos la privatan servon, ĉar plusenda problemo sternita sur rompita tunelo havas du kaŭzojn kaj neniun utilan erarmesaĝon. Notu la privatan adreson, al kiu la servo solviĝas el interne de la gasto. Tiu adreso estas la sola afero, kiun la plusenda regulo nomu.

Se la kliento puŝas plenan tunelon, la adaptilo nur por la gastiganto ankoraŭ portas lokan trafikon, sed kontrolu, ke la privata celo ne estas kaptata de la tunelo tiel, ke ĝia adreso ŝanĝiĝas. Profilo kun dividita tunelo faciligas ĉi tion kaj indas peti ĝin de tiu, kiu posedas la VPN.

Aldonu la kruron nur por la gastiganto kaj testu ĝin sole

Konektu adaptilon nur por la gastiganto al la gasto, donu al ĝi statikan adreson en subreto, kiun nenio alia uzas, kaj konfirmu, ke la Mac povas pingi ĝin. Testu kun la VPN konektita kaj malkonektita, ĉar la adreso devas postvivi ambaŭ. Gasto, kiu respondas nur dum ĝia tunelo staras, havas enkursigan problemon, kiun vi ankoraŭ ne trovis.

Windows eble klasifikos la novan adaptilon kiel publikan reton, kio defaŭlte blokas alvenantan trafikon. Agordu la profilon antaŭ ol vi sencimigos ion alian.

Plusendu unu pordon, ne la subreton

Preferu unu plusenditan pordon anstataŭ ĝenerala IP-plusendado. Windows liveras netsh interface portproxy, kiu plusendas aŭskultantan pordon al cela gastiganto kaj pordo, kaj ĝi bezonas la servon IP Helper funkcii.

Ĉiam agordu listenaddress al la adreso nur por la gastiganto. Forlasi ĝin ligas ĉiujn interfacojn, kio elmetas la servon al kiu ajn reto, sur kiu la virtuala maŝino hazarde sidas. Aldonu fajroŝirman regulon limigitan al la interfaco nur por la gastiganto kaj al tiu unu pordo, por ke la aŭskultanto kaj la permeso kongruu. Aplikaĵo konscia pri prokuro eble anstataŭe volas malgrandan prokuron ene de la gasto, kiu finas la konekton kaj ne bezonas revenan vojon al la Mac. Elektu la prokuron kiam la protokolo permesas, ĉar ĝi malsukcesas fermite pro sia konstruo.

Kontrolu, poste skribu la retroplanon

De la Mac, solvu la privatan nomon, plenumu la celatan operacion, poste haltigu la VPN de la gasto kaj konfirmu, ke la operacio malsukcesas anstataŭ silente refali. Tiu lasta kontrolo estas tiu, kiu pruvas, ke la vojo estas tiu, kiun vi konstruis. Notu, kiun identecon la enirejo vidas kaj kiu rajtas uzi la plusendon.

Skribu la retroplanon kiel tri paŝojn: forigu la portproxy-eron, forigu la fajroŝirman regulon, malkonektu la adaptilon nur por la gastiganto. Poste plenumu ĝin unufoje, antaŭ ol vi bezonos ĝin, kaj konfirmu, ke la propra VPN de la gasto ankoraŭ funkcias poste. Se via organizo postulas, ke ĉiu Mac registriĝu sendepende, haltu ĉi tie kaj uzu tiun modelon anstataŭe, ĉar komuna plusenda punkto koncentras aliron sur unu gasto. Ĉiukaze metu la adresojn kaj la pordon en la ŝanĝregistron; la sekva persono ne volos remalkovri ilin.