Cómo llegar a un servicio privado mediante una VPN en una máquina virtual

Trate el invitado y el Mac como dos redes separadas unidas por una sola puerta estrecha. La máquina virtual conserva su cliente VPN y su propio camino a internet; el Mac llega exactamente a un servicio a través de un adaptador solo para el anfitrión y un único puerto reenviado. Nada más debe cruzar. Siga los pasos en orden y deténgase cuando uno falle, porque cada paso posterior supone que los anteriores se mantuvieron.

Anote los dos caminos antes de cambiar nada

En el invitado, ipconfig /all muestra el adaptador que transporta la VPN y la dirección que recibió del DHCP de la red virtual. En el Mac, anote la interfaz virtual que el hipervisor creó para ese segmento; con VMware Fusion el dispositivo solo para el anfitrión suele ser vmnet1, y Parallels pone su propio nombre. Fíjese en quién reparte direcciones allí y luego escríbalo todo, porque la subred solo para el anfitrión se reasigna con frecuencia cuando se recrea una red virtual. Compruebe el modo de red de la máquina virtual en el hipervisor, no en su recuerdo de él. El modo compartido o NAT para el adaptador que mira a internet más el modo solo para el anfitrión para el adaptador que mira al Mac es la disposición que suponen estos pasos.

Dos adaptadores, dos propósitos. Mezclarlos de modo que un solo adaptador sirva tanto al Mac como a internet es lo que convierte una puerta estrecha en un camino enrutado.

Confirme primero la VPN propia del invitado

Inicie el cliente dentro de Windows y confirme que termina, con cualquier prueba que documente el proveedor. No avance hasta que el invitado solo llegue al servicio privado, porque un problema de reenvío superpuesto a un túnel roto tiene dos causas y ningún mensaje de error útil. Anote la dirección privada a la que se resuelve el servicio desde dentro del invitado. Esa dirección es lo único que la regla de reenvío debe nombrar.

Si el cliente empuja un túnel completo, el adaptador solo para el anfitrión sigue llevando tráfico local, pero verifique que el destino privado no quede capturado por el túnel de forma que cambie su dirección. Un perfil de túnel dividido lo hace más sencillo y vale la pena pedírselo a quien sea dueño de la VPN.

Añada el tramo solo para el anfitrión y pruébelo solo

Conecte un adaptador solo para el anfitrión al invitado, dele una dirección estática en una subred que nada más use y confirme que el Mac puede hacerle ping. Pruébelo con la VPN conectada y desconectada, porque la dirección tiene que sobrevivir a ambas. Un invitado que solo responde mientras su túnel está levantado tiene un problema de enrutamiento que usted aún no ha encontrado.

Windows puede clasificar el nuevo adaptador como red pública, lo que bloquea el tráfico entrante de forma predeterminada. Configure el perfil antes de depurar cualquier otra cosa.

Reenvíe un puerto, no la subred

Prefiera un solo puerto reenviado al reenvío general de IP. Windows incluye netsh interface portproxy, que reenvía un puerto en escucha a un anfitrión y puerto de destino, y necesita el servicio IP Helper en ejecución.

Fije siempre listenaddress a la dirección solo para el anfitrión. Omitirlo enlaza todas las interfaces, lo que expone el servicio a cualquier red en la que se encuentre la máquina virtual. Añada una regla de cortafuegos limitada a la interfaz solo para el anfitrión y a ese único puerto, para que el oyente y el permiso coincidan. Una aplicación que entiende de proxys quizá prefiera un proxy pequeño dentro del invitado, que cierra la conexión y no necesita ruta de vuelta al Mac. Elija el proxy cuando el protocolo lo permita, porque falla cerrado por construcción.

Verifique y luego escriba la reversión

Desde el Mac, resuelva el nombre privado, ejecute la operación prevista y luego detenga la VPN del invitado y confirme que la operación falla en lugar de retroceder en silencio. Esa última comprobación es la que demuestra que el camino es el que usted construyó. Anote qué identidad ve la puerta de enlace y quién puede usar el reenvío.

Escriba la reversión en tres pasos: elimine la entrada de portproxy, elimine la regla de cortafuegos, desconecte el adaptador solo para el anfitrión. Luego ejecútela una vez, antes de necesitarla, y confirme que la VPN propia del invitado sigue funcionando después. Si su organización exige que cada Mac se registre de forma independiente, deténgase aquí y use ese modelo en su lugar, porque un punto de reenvío compartido concentra el acceso en un solo invitado. En cualquier caso, ponga las direcciones y el puerto en el registro de cambios; la siguiente persona no querrá volver a descubrirlos.