Pasarela VPN de VirtualBox para a LAN: ponte, ruta e retorno

Ponte a VM da pasarela na LAN, anuncia a LAN aos clientes e engade a ruta do grupo ao router da LAN. Un exemplo IPv4 traballado con rutas de retorno reais.

Os usuarios remotos necesitan chegar a unha impresora e a un servidor de ficheiros nunha LAN física, e o único equipo Linux sempre acendido é unha VM de VirtualBox. Pontar a VM nesa LAN é a primeira metade. A segunda metade é unha ruta de retorno que cada dispositivo da LAN usará de verdade, e esa é a parte que a maioría das instalacións pasa por alto. Cando falta, o túnel conéctase, o cliente fai ping á pasarela e nada máis responde.

Use enderezos que se poidan acadar

Pon o adaptador de LAN da VM na conexión Bridged Adapter aprobada para esa rede e dálle un enderezo mediante o proceso normal de asignación. Entón a VM aparece na LAN física como calquera outro host. A súa ruta predeterminada debe seguir usando a pasarela real, para que o transporte cifrado ata o par VPN siga sendo alcanzable. Non use o enderezo NAT predeterminado de VirtualBox como seguinte salto da LAN, porque ese enderezo vive detrás dun NAT virtual e non está on-link para o host nin para as demais máquinas da LAN.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Comprobe se hai solapamento coas redes domésticas dos usuarios remotos antes de escoller o grupo de enderezos. O solapamento convértese nunha ambigüidade de encamiñamento que ningunha configuración do servidor corrixe.

Anuncie a LAN e despois reenvíe

Para un servidor cuxa autenticación e transporte xa se xestionan, as liñas de rede son estas. O push dille ao cliente que acepta como chegar á LAN, e por si só non fai que a VM reenvíe nada.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Active o reenvío IPv4 na configuración de rede persistente da VM e permita que o grupo de clientes chegue aos servizos de LAN previstos no límite de reenvío da VM. O permiso para chegar ao escoitante VPN é unha regra aparte, e xa funciona se o túnel se levantou.

A ruta de retorno vai no router da LAN

Os dispositivos da LAN responden pola súa pasarela predeterminada, que é o router da LAN en 192.168.70.1. Ese router non ten idea de onde vive 10.80.0.0/24 se non llo din. Engada a ruta do grupo á configuración persistente admitida do router, apuntando ao enderezo de LAN da VM. Engadila só no host de VirtualBox repara os camiños que consultan ese host, que non é cada dispositivo da LAN.

ip route add 10.80.0.0/24 via 192.168.70.10

O cortalumes do destino aínda ten que permitir o grupo de clientes como orixe. Unha ruta leva o paquete; non concede o servizo.

Se o router da LAN non se pode cambiar, a alternativa é a tradución de orixe limitada na VM. Fai que as respostas volvan sen a ruta e oculta os enderezos individuais dos clientes ao servizo da LAN.

Siga un paquete de extremo a extremo

Un cliente en 10.80.0.25 envía a 192.168.70.40 polo túnel. A VM reenvía o paquete á LAN. O servizo responde ao seu router, que escolle a VM para o grupo de clientes, e a VM devolve o paquete por OpenVPN. Cada salto desa frase é un lugar onde o deseño pode fallar.

Probe coa aplicación real desde un cliente remoto e repita despois de recargar a configuración xestionada tanto na VM como no router.

Se o cliente chega á VM pero non ao servizo, revise primeiro a ruta do router. Se o servizo recibe a petición e o cliente nunca ve a resposta, o camiño de retorno é o sospeitoso.

Artigos relacionados