VirtualBox VPN-pordego por la LAN: ponto, vojo, reveno

Foraj uzantoj devas atingi printilon kaj dosieran servilon en fizika LAN, kaj la sola ĉiam funkcianta Linux-maŝino estas VirtualBox VM. Ponti la VM-on en tiun LAN-on estas la unua duono. La dua duono estas revena vojo, kiun ĉiu aparato en la LAN efektive uzos, kaj ĝuste tion plej multaj agordoj maltrafas. Kiam ĝi mankas, la tunelo konektiĝas, la kliento pingas la pordegon, kaj nenio alia respondas.

Uzu adresojn, kiujn eblas atingi

Agordu la LAN-adaptilon de la VM al la Bridged Adapter-ligo aprobita por tiu reto, kaj donu al ĝi adreson per la normala asignoprocezo. Tiam la VM aperas en la fizika LAN kiel ajna alia gastiganto. Ĝia defaŭlta vojo devas plu uzi la realan pordegon, por ke la ĉifrita transporto al la VPN-partnero restu atingebla. Ne uzu la defaŭltan NAT-adreson de VirtualBox kiel sekvan salton por la LAN, ĉar tiu adreso loĝas malantaŭ virtuala NAT kaj ne estas on-link por la gastiganto nek por aliaj maŝinoj en la LAN.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Kontrolu pri interkovro kun la hejmaj retoj de foraj uzantoj antaŭ ol elekti la ilaron. Interkovro fariĝas vojiga dusenceco, kiun neniu servila agordo riparas.

Anoncu la LAN, poste plusendu

Por servilo, kies aŭtentikigo kaj transporto jam estas administrataj, la retaj linioj aspektas tiel. La push diras al akceptanta kliento kiel atingi la LAN, kaj ĝi mem ne igas la VM-on plusendi ion ajn.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Ŝaltu IPv4-plusendadon en la daŭra reta agordo de la VM, kaj permesu al la klientaro atingi la celitajn LAN-servojn ĉe la plusenda limo de la VM. Permeso atingi la VPN-aŭskultanton estas aparta regulo, kaj ĝi jam funkcias se la tunelo leviĝis.

La revena vojo apartenas al la LAN-vojigilo

Aparatoj en la LAN respondas per sia defaŭlta pordego, kiu estas la LAN-vojigilo ĉe 192.168.70.1. Tiu vojigilo tute ne scias, kie troviĝas 10.80.0.0/24, se oni ne diras al ĝi. Aldonu la ilaran vojon al la subtenata daŭra agordo de la vojigilo, celante la LAN-adreson de la VM. Aldoni ĝin nur en la VirtualBox-gastiganto riparas vojojn, kiuj konsultas tiun gastiganton, kaj tio ne estas ĉiu aparato en la LAN.

ip route add 10.80.0.0/24 via 192.168.70.10

La propra fajroŝirmilo de la celo ankoraŭ devas permesi la klientaron kiel fonton. Vojo portas la paketon; ĝi ne donas la servon.

Se la LAN-vojigilo ne povas esti ŝanĝita, limigita fonttraduko sur la VM estas la alternativo. Ĝi igas respondojn reveni sen la vojo, kaj ĝi kaŝas la individuajn klientajn adresojn de la LAN-servo.

Sekvu unu paketon de komenco ĝis fino

Kliento ĉe 10.80.0.25 sendas al 192.168.70.40 tra la tunelo. La VM plusendas la paketon en la LAN-on. La servo respondas al sia vojigilo, kiu elektas la VM-on por la klientaro, kaj la VM resendas la paketon tra OpenVPN. Ĉiu salto en tiu frazo estas loko, kie la dezajno povas malsukcesi.

Testu per la reala aplikaĵo de fora kliento, poste ripetu post reŝarĝo de la administrata agordo kaj en la VM kaj en la vojigilo.

Se la kliento atingas la VM sed ne la servon, unue kontrolu la vojon de la vojigilo. Se la servo ricevas la peton kaj la kliento neniam vidas la respondon, la revena vojo estas la suspektato.