Como chegar a un servizo privado mediante unha VPN nunha máquina virtual

Trate o convidado e o Mac como dúas redes separadas unidas por unha soa porta estreita. A máquina virtual conserva o seu cliente VPN e o seu propio camiño a internet; o Mac chega exactamente a un servizo a través dun adaptador só para o anfitrión e un único porto redirixido. Nada máis debe cruzar. Siga os pasos en orde e detéñase cando un falle, porque cada paso posterior supón que os anteriores aguantaron.

Anote os dous camiños antes de cambiar nada

No convidado, ipconfig /all mostra o adaptador que transporta a VPN e o enderezo que recibiu do DHCP da rede virtual. No Mac, anote a interface virtual que o hipervisor creou para ese segmento; con VMware Fusion o dispositivo só para o anfitrión adoita ser vmnet1, e Parallels pon o seu propio nome. Fíxese en quen reparte enderezos alí e despois escríbao todo, porque a subrede só para o anfitrión reasígnase a miúdo cando se recrea unha rede virtual. Comprobe o modo de rede da máquina virtual no hipervisor, non na súa memoria del. O modo compartido ou NAT para o adaptador que mira a internet máis o modo só para o anfitrión para o adaptador que mira ao Mac é a disposición que estes pasos supoñen.

Dous adaptadores, dous propósitos. Mesturalos de xeito que un só adaptador sirva tanto o Mac como internet é o que converte unha porta estreita nun camiño encamiñado.

Confirme primeiro a VPN propia do convidado

Inicie o cliente dentro de Windows e confirme que remata, con calquera proba que documente o provedor. Non avance ata que o convidado só chegue ao servizo privado, porque un problema de redirección superposto a un túnel roto ten dúas causas e ningunha mensaxe de erro útil. Anote o enderezo privado ao que se resolve o servizo desde dentro do convidado. Ese enderezo é o único que a regra de redirección debe nomear.

Se o cliente empurra un túnel completo, o adaptador só para o anfitrión segue levando tráfico local, pero verifique que o destino privado non quede capturado polo túnel de xeito que cambie o seu enderezo. Un perfil de túnel dividido fai isto máis sinxelo e paga a pena pedilo a quen posúa a VPN.

Engada a póla só para o anfitrión e proba a soa

Conecte un adaptador só para o anfitrión ao convidado, déalle un enderezo estático nunha subrede que nada máis use e confirme que o Mac lle pode facer ping. Probe coa VPN conectada e desconectada, porque o enderezo ten que sobrevivir a ambas. Un convidado que só responde mentres o seu túnel está levantado ten un problema de encamiñamento que aínda non atopou.

Windows pode clasificar o novo adaptador como rede pública, o que bloquea o tráfico entrante por defecto. Configure o perfil antes de depurar calquera outra cousa.

Redirixa un porto, non a subrede

Prefera un único porto redirixido á redirección xeral de IP. Windows inclúe netsh interface portproxy, que redirixe un porto en escoita a un anfitrión e porto de destino, e necesita o servizo IP Helper en execución.

Fixe sempre listenaddress no enderezo só para o anfitrión. Omitilo liga todas as interfaces, o que expón o servizo a calquera rede na que estea a máquina virtual. Engada unha regra de cortafuegos limitada á interface só para o anfitrión e a ese único porto, para que o oínte e o permiso coincidan. Unha aplicación que entende de proxy quizais prefira un proxy pequeno dentro do convidado, que pecha a conexión e non necesita ruta de volta ao Mac. Escolla o proxy cando o protocolo o permita, porque falla pechado por construción.

Verifique e despois escriba a reversión

Desde o Mac, resolva o nome privado, execute a operación prevista e despois deteña a VPN do convidado e confirme que a operación falla en vez de retroceder en silencio. Esa última comprobación é a que demostra que o camiño é o que vostede construíu. Anote que identidade ve a pasarela e quen pode usar a redirección.

Escriba a reversión en tres pasos: elimine a entrada de portproxy, elimine a regra de cortafuegos, desconecte o adaptador só para o anfitrión. Despois execútea unha vez, antes de necesitala, e confirme que a VPN propia do convidado segue funcionando despois. Se a súa organización esixe que cada Mac se rexistre de forma independente, detéñase aquí e use ese modelo no seu lugar, porque un punto de redirección compartido concentra o acceso nun só convidado. En calquera caso, poña os enderezos e o porto no rexistro de cambios; a seguinte persoa non quererá volver descubrilos.