VirtualBox-VPN-yhdyskäytävä lähiverkkoon: silta, reitti, paluu

Etäkäyttäjien on päästävä fyysisen lähiverkon tulostimelle ja tiedostopalvelimelle, ja ainoa jatkuvasti käynnissä oleva Linux-kone on VirtualBox-VM. VM:n siltaaminen tuohon lähiverkkoon on ensimmäinen puolisko. Toinen puolisko on paluureitti, jota jokainen lähiverkon laite todella käyttää, ja juuri se useimmista kokoonpanoista puuttuu. Kun se puuttuu, tunneli yhdistyy, asiakas pingaa yhdyskäytävää eikä mikään muu vastaa.

Käytä osoitteita, joihin pääsee

Aseta VM:n lähiverkko-adapteri kyseiselle verkolle hyväksyttyyn Bridged Adapter -tilaan ja anna sille osoite normaalin jakoprosessin kautta. Silloin VM näkyy fyysisessä lähiverkossa kuin mikä tahansa muu isäntä. Sen oletusreitin on edelleen käytettävä todellista yhdyskäytävää, jotta salattu yhteys VPN-vertaiseen pysyy tavoitettavissa. Älä käytä VirtualBoxin oletusarvoista NAT-osoitetta lähiverkon seuraavana hyppynä, koska se osoite sijaitsee virtuaalisen NATin takana eikä ole on-link isännälle tai muille lähiverkon koneille.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Tarkista etäkäyttäjien kotiverkkojen päällekkäisyys ennen osoiteavaruuden valintaa. Päällekkäisyys muuttuu reitityksen monitulkintaisuudeksi, jota mikään palvelinkokoonpano ei korjaa.

Mainosta lähiverkko ja välitä sitten

Palvelimelle, jonka todennus ja siirto ovat jo hallinnassa, verkkorivit näyttävät tältä. Push kertoo vastaanottavalle asiakkaalle, miten lähiverkkoon pääsee, eikä se itsessään saa VM:ää välittämään mitään.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Ota IPv4-välitys käyttöön VM:n pysyvässä verkkokokoonpanossa ja salli asiakasavaruuden päästä aiottuihin lähiverkon palveluihin VM:n välitysrajalla. Lupa päästä VPN-kuuntelijaan on erillinen sääntö, ja se toimii jo, jos tunneli nousi.

Paluureitti kuuluu lähiverkon reitittimelle

Lähiverkon laitteet vastaavat oletusyhdyskäytävänsä kautta, joka on lähiverkon reititin osoitteessa 192.168.70.1. Se reititin ei tiedä, missä 10.80.0.0/24 on, ellei sitä kerrota. Lisää osoiteavaruuden reitti reitittimen tuettuun pysyvään kokoonpanoon ja osoita se VM:n lähiverkko-osoitteeseen. Sen lisääminen vain VirtualBox-isäntään korjaa polut, jotka kysyvät tuota isäntää, eikä se ole jokainen lähiverkon laite.

ip route add 10.80.0.0/24 via 192.168.70.10

Kohteen oma palomuuri on silti sallittava asiakasavaruus lähteeksi. Reitti kuljettaa paketin; se ei myönnä palvelua.

Jos lähiverkon reititintä ei voi muuttaa, vaihtoehto on rajattu lähdeosoitteen käännös VM:ssä. Se saa vastaukset palaamaan ilman reittiä ja piilottaa yksittäiset asiakasosoitteet lähiverkon palvelulta.

Seuraa yhtä pakettia päästä päähän

Asiakas osoitteessa 10.80.0.25 lähettää osoitteeseen 192.168.70.40 tunnelin kautta. VM välittää paketin lähiverkkoon. Palvelu vastaa reitittimelleen, joka valitsee VM:n asiakasavaruudelle, ja VM palauttaa paketin OpenVPN -yhteyden kautta. Jokainen tuon lauseen hyppy on paikka, jossa suunnittelu voi epäonnistua.

Testaa todellisella sovelluksella etäasiakkaasta ja toista se, kun olet ladannut hallitun kokoonpanon uudelleen sekä VM:ään että reitittimeen.

Jos asiakas tavoittaa VM:n mutta ei palvelua, tarkista ensin reitittimen reitti. Jos palvelu vastaanottaa pyynnön eikä asiakas koskaan näe vastausta, paluupolku on epäilty.