دروازه VPN VirtualBox برای LAN: پل، مسیر، بازگشت

کاربران راه دور باید به یک چاپگر و یک سرور فایل در یک LAN فیزیکی دسترسی داشته باشند، و تنها جعبه لینوکسی که همیشه روشن است یک ماشین مجازی VirtualBox است. پل‌زدن این VM به آن LAN نیمهٔ اول است. نیمهٔ دوم یک مسیر بازگشت است که هر دستگاه LAN واقعاً از آن استفاده می‌کند، و همین بخشی است که بیشتر تنظیمات از دست می‌دهند. وقتی این مسیر نباشد، تونل وصل می‌شود، کلاینت به دروازه ping می‌زند و هیچ چیز دیگری پاسخ نمی‌دهد.

از آدرس‌هایی استفاده کنید که قابل دسترسی‌اند

آداپتور LAN ماشین مجازی را روی حالت Bridged Adapter تأییدشده برای آن شبکه بگذارید و از طریق فرایند تخصیص معمول به آن آدرس بدهید. آن‌گاه VM در LAN فیزیکی مانند هر میزبان دیگری ظاهر می‌شود. مسیر پیش‌فرض آن باید همچنان از دروازهٔ واقعی استفاده کند تا انتقال رمزنگاری‌شده به همتای VPN قابل دسترسی بماند. از آدرس پیش‌فرض NAT در VirtualBox به‌عنوان پرش بعدی LAN استفاده نکنید، زیرا آن آدرس پشت یک NAT مجازی قرار دارد و برای میزبان یا دیگر ماشین‌های LAN روی همان پیوند نیست.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

پیش از انتخاب استخر آدرس، هم‌پوشانی با شبکه‌های خانگی کاربران راه دور را بررسی کنید. هم‌پوشانی به ابهام مسیریابی تبدیل می‌شود که هیچ تنظیم سروری آن را درست نمی‌کند.

LAN را اعلام کنید، سپس ارسال کنید

برای سروری که احراز هویت و انتقال آن از قبل مدیریت می‌شود، خطوط شبکه چنین است. push به کلاینت پذیرنده می‌گوید چگونه به LAN برسد و به‌خودی‌خود باعث نمی‌شود VM چیزی را ارسال کند.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

ارسال IPv4 را در پیکربندی دائمی شبکهٔ VM فعال کنید و به استخر کلاینت‌ها اجازه دهید در مرز ارسال VM به سرویس‌های LAN مورد نظر برسند. اجازهٔ دسترسی به شنوندهٔ VPN قاعده‌ای جداگانه است و اگر تونل بالا آمده باشد از قبل کار می‌کند.

مسیر بازگشت به روتر LAN تعلق دارد

دستگاه‌های LAN از طریق دروازهٔ پیش‌فرض خود پاسخ می‌دهند که همان روتر LAN در 192.168.70.1 است. آن روتر تا وقتی به او نگویند هیچ ایده‌ای ندارد که 10.80.0.0/24 کجاست. مسیر استخر را به پیکربندی دائمی پشتیبانی‌شدهٔ روتر اضافه کنید و آن را به آدرس LAN ماشین مجازی نشانه بگیرید. افزودن آن فقط روی میزبان VirtualBox مسیرهایی را که از آن میزبان می‌پرسند درست می‌کند، و این همهٔ دستگاه‌های LAN نیست.

ip route add 10.80.0.0/24 via 192.168.70.10

فایروال خود مقصد همچنان باید استخر کلاینت‌ها را به‌عنوان منبع مجاز کند. مسیر بسته را حمل می‌کند؛ سرویس را اعطا نمی‌کند.

اگر روتر LAN قابل تغییر نیست، ترجمهٔ منبع محدود روی VM جایگزین است. پاسخ‌ها را بدون مسیر برمی‌گرداند و آدرس‌های فردی کلاینت‌ها را از سرویس LAN پنهان می‌کند.

یک بسته را از ابتدا تا انتها دنبال کنید

کلاینتی در 10.80.0.25 از طریق تونل به 192.168.70.40 می‌فرستد. VM بسته را به LAN ارسال می‌کند. سرویس به روتر خود پاسخ می‌دهد، که VM را برای استخر کلاینت‌ها انتخاب می‌کند، و VM بسته را از طریق OpenVPN بازمی‌گرداند. هر پرش در آن جمله جایی است که طراحی می‌تواند شکست بخورد.

با برنامهٔ واقعی از یک کلاینت راه دور آزمایش کنید، سپس پس از بارگذاری مجدد پیکربندی مدیریت‌شده روی VM و روتر تکرار کنید.

اگر کلاینت به VM می‌رسد اما به سرویس نمی‌رسد، ابتدا مسیر روتر را بررسی کنید. اگر سرویس درخواست را دریافت می‌کند و کلاینت هرگز پاسخ را نمی‌بیند، مسیر بازگشت مشکوک است.