VirtualBoxi VPN-lüüs LAN-i jaoks: sild, marsruut, tagasitee

Kaugkasutajad peavad jõudma füüsilises LAN-is oleva printeri ja failiserverini ning ainus pidevalt töötav Linuxi masin on VirtualBoxi VM. VM-i sellesse LAN-i sildamine on esimene pool. Teine pool on tagasitee marsruut, mida iga LAN-i seade tõesti kasutab, ja just selle jätavad enamik seadistusi välja. Kui see puudub, tunnel ühendub, klient pingib lüüsi ja miski muu ei vasta.

Kasutage aadresse, milleni jõuab

Seadke VM-i LAN-adapter selle võrgu jaoks lubatud Bridged Adapter režiimi ja andke sellele aadress tavalise jaotamise käigus. Siis ilmub VM füüsilisse LAN-i nagu iga teine host. Selle vaikemarsruut peab endiselt kasutama päris lüüsi, et krüpteeritud transport VPN-i partnerini jääks kättesaadavaks. Ärge kasutage VirtualBoxi vaikimisi NAT-aadressi LAN-i järgmise hüppena, sest see aadress asub virtuaalse NAT-i taga ega ole hosti ega teiste LAN-i masinate jaoks on-link.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Enne aadressivaliku valimist kontrollige kattuvust kaugkasutajate koduvõrkudega. Kattuvus muutub marsruutimise mitmetähenduslikkuseks, mida ükski serveri seadistus ei paranda.

Teatage LAN-ist ja siis edastage

Serveri puhul, mille autentimist ja transporti juba hallatakse, näevad võrguread välja nii. Push ütleb vastuvõtvale kliendile, kuidas LAN-i jõuda, ja see iseenesest ei pane VM-i midagi edastama.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Lubage VM-i püsivas võrguseadistuses IPv4 edastamine ja lubage kliendipoolil jõuda kavandatud LAN-teenusteni VM-i edastuspiiril. VPN-i kuulaja juurde pääsemise luba on eraldi reegel ja see töötab juba, kui tunnel tõusis.

Tagasitee marsruut kuulub LAN-i ruuterile

LAN-i seadmed vastavad oma vaikelüüsi kaudu, milleks on LAN-i ruuter aadressil 192.168.70.1. See ruuter ei tea, kus asub 10.80.0.0/24, kui talle ei öelda. Lisage aadressivaliku marsruut ruuteri toetatud püsivasse seadistusse, suunates selle VM-i LAN-aadressile. Selle lisamine ainult VirtualBoxi hosti parandab teid, mis küsivad seda hosti, ja see ei ole iga seade LAN-is.

ip route add 10.80.0.0/24 via 192.168.70.10

Sihtkoha enda tulemüür peab ikkagi lubama kliendipooli allikana. Marsruut kannab paketti; see ei anna teenust.

Kui LAN-i ruuterit ei saa muuta, on alternatiiviks piiratud lähteaadressi tõlge VM-is. See paneb vastused ilma marsruudita tagasi tulema ja peidab LAN-i teenuse eest üksikud kliendiaadressid.

Jälgige ühte paketti otsast otsani

Klient aadressil 10.80.0.25 saadab tunnelist aadressile 192.168.70.40. VM edastab paketi LAN-i. Teenus vastab oma ruuterile, mis valib kliendipooli jaoks VM-i, ja VM saadab paketi tagasi läbi OpenVPN. Iga hüpe selles lauses on koht, kus disain võib läbi kukkuda.

Testige päris rakendusega kaugkliendist ja korrake pärast hallatava seadistuse uuesti laadimist nii VM-is kui ka ruuteris.

Kui klient jõuab VM-ini, aga mitte teenuseni, kontrollige kõigepealt ruuteri marsruuti. Kui teenus saab päringu ja klient ei näe kunagi vastust, on tagasitee kahtlusalune.