Hostaren VPN saioa VMware gonbidatu batekin partekatzea

Zure makina birtualak ezin du hostean primeran funtzionatzen duen barne-sistema batera iritsi, eta hosta bideratze-taularen jabe den bezero baten bidez dago konektatuta. Egokitzaile birtuala tunelera zubiratzea begi-bistakoa dirudi eta bi arrazoi bereizik egiten du huts. Makina biek duten segmentu batean itzultzeak funtzionatzen du. Kostua erreala da: gonbidatu bakoitzak bere identitatea galtzen du korporazio-sarean.

Zubiak funtzionatu ezin duen bi arrazoi

Bezeroaren egokitzaileak normalean helbide bat darama, sarritan /32 bat, eta bezeroak hostaren bideak berridazten ditu irteerako trafiko arruntak tunela lehenets dezan. Hosteko aplikazioek taula horri men egiten diote eta sistema pribatura iristen dira. Zubiratutako gonbidatuak ez du taula irakurtzen, bere markoak IP geruza azpiko kommutadore batetik irteten direlako.

Tunel egokitzailea zubi batean jartzeak bidea teorian konponduko luke, eta kontrolatzaileak ez du onartuko. Windows 10ek zubi gailu bakarra baimentzen du gainera, eta bi azpisareen artean lan-estazio batek aurrera dezan behar den bideratze-rola ukatu egiten du. Geratzen dena iturburu-itzulpena da. Egin gonbidatuaren trafikoak hostetik datorrela dirudiela, eta hostaren beraren erabakiek tunelera eramango dute, gonbidatuak ezin duen bide bat behar izan gabe.

Sortu hostak duen segmentu bat

Sare birtualaren editorean, gehitu host-only sare bat, adibidez VMnet3, beste inon bideratzen ez duzun aurrizki batean, adibidez 172.28.90.0/24. Hostak 172.28.90.1 hartzen du egokitzaile horretan eta gonbidatua kommutadore berera konektatzen da. Desgaitu hiperbisorearen DHCP segmentu horretan, helbide-zerbitzu bakar batek izan dezan.

Egiaztatu Windows-ek interfazea ikusten duela gainean ezer eraiki aurretik, diseinu osoa egokitzaile hori arrunta izatearen mende baitago:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

host-only egokitzaile bat edozein fisiko bezala agertzen da han. Hori da zehazki tunel egokitzailearekiko aldea, ezin baita ezeri atxiki.

Itzuli gonbidatuaren aurrizkia

Ireki saio bat baimen altuekin eta itzuli aurrizkia. Egiaztatu lehenik zer dagoen jada, edukiontzien exekuzio-inguruneek eta hiperbisoreek beren itzulpenak instalatzen baitituzte, eta okerra ezabatzeak beste produktu bat hausten du.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Ondoren konfiguratu gonbidatua aurrizki horretan helbide estatiko batekin, 172.28.90.1 atebidea bezala eta tunelak hostari ematen dizkion ebazle-helbideekin. Itzulpenak paketeak bidaltzen ditu eta ez dio gonbidatuari DNSari buruz ezer irakasten, beraz tokiko routerrean utzitako gonbidatu batek izen publikoak ebazten ditu eta barneko guztietan huts egiten du.

Egiaztatu lehen jauzia, gero kostua

Probatu muga hurbilena aplikazio bat probatu aurretik. Hostaren atebidean gelditzen den arrastoak itzulpena ez dela gertatzen esan nahi du, eta hostaz harago gelditzen denak tunela behera dagoela edo urruneko aldeak itzulitako helbidea ukatu duela.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Konparatu hostaren beraren sarbidearekin helmuga berera, tunela martxan dagoen bitartean. Hostak lortzen badu eta gonbidatuak ez, akatsa itzulpenean edo gonbidatuaren atebide-ezarpenetan dago, ez konexioan.

Orduan onartu trukea. Korporazio-sistematik helbide bakarra ikusten dute gonbidatu bakoitzeko, beraz gailu-ziurtagiriek eta gailu bakoitzeko egoera-egiaztapenek ezin dituzte bereizi, eta politika batzuek erabat debekatzen dute. Erabaki jausteko jokaera ere, itzulitako trafikoak interneteko bide arruntera eror baitaiteke tunelak huts egiten duenean, aurrizki hori hostaren suebakian blokeatzen ez baduzu.