שער VPN של VirtualBox עבור ה-LAN: גישור, מסלול, חזרה

משתמשים מרוחקים צריכים להגיע למדפסת ולשרת קבצים ברשת LAN פיזית, והמחשב היחיד שתמיד פועל הוא מכונה וירטואלית של VirtualBox. גישור המכונה אל אותה LAN הוא המחצית הראשונה. המחצית השנייה היא מסלול חזרה שכל התקן ב-LAN באמת ישתמש בו, וזה החלק שרוב ההתקנות מפספסות. כשהוא חסר, המנהרה מתחברת, הלקוח עושה פינג לשער, ושום דבר אחר לא עונה.

השתמשו בכתובות שאפשר להגיע אליהן

הגדירו את מתאם ה-LAN של המכונה למצב Bridged Adapter שאושר עבור אותה רשת, ותנו לו כתובת דרך תהליך ההקצאה הרגיל. אז המכונה מופיעה ב-LAN הפיזית כמו כל מארח אחר. מסלול ברירת המחדל שלה חייב להמשיך להשתמש בשער האמיתי, כדי שהתעבורה המוצפנת לעמית ה-VPN תישאר נגישה. אל תשתמשו בכתובת ה-NAT המוגדרת כברירת מחדל של VirtualBox כקפיצה הבאה של ה-LAN, כי הכתובת הזו נמצאת מאחורי NAT וירטואלי ואינה on-link עבור המארח או עבור מכונות אחרות ב-LAN.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

בדקו חפיפה עם רשתות הבית של המשתמשים המרוחקים לפני בחירת מאגר הכתובות. חפיפה הופכת לעמימות ניתוב שאין שום תצורת שרת שמתקנת.

הכריזו על ה-LAN, ואז העבירו

עבור שרת שאימות התעבורה וההעברה שלו כבר מנוהלים, שורות הרשת נראות כך. ה-push אומר ללקוח שמקבל איך להגיע ל-LAN, והוא כשלעצמו לא גורם למכונה להעביר דבר.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

הפעילו העברת IPv4 בתצורת הרשת הקבועה של המכונה, ואפשרו למאגר הלקוחות להגיע לשירותי ה-LAN המיועדים בגבול ההעברה של המכונה. ההרשאה להגיע למאזין ה-VPN היא כלל נפרד, והיא כבר עובדת אם המנהרה עלתה.

מסלול החזרה שייך לנתב ה-LAN

התקנים ב-LAN עונים דרך שער ברירת המחדל שלהם, שהוא נתב ה-LAN בכתובת 192.168.70.1. לנתב הזה אין מושג איפה נמצא 10.80.0.0/24 אלא אם אומרים לו. הוסיפו את מסלול המאגר לתצורה הקבועה הנתמכת של הנתב, כשהוא מצביע לכתובת ה-LAN של המכונה. הוספה רק במארח VirtualBox מתקנת מסלולים שפונים לאותו מארח, וזה לא כל התקן ב-LAN.

ip route add 10.80.0.0/24 via 192.168.70.10

חומת האש של היעד עצמו עדיין צריכה להתיר את מאגר הלקוחות כמקור. מסלול נושא את החבילה; הוא לא מעניק את השירות.

אם לא ניתן לשנות את נתב ה-LAN, תרגום מקור מוגבל במכונה הוא החלופה. הוא מחזיר תשובות בלי המסלול, והוא מסתיר את כתובות הלקוחות הבודדות משירות ה-LAN.

עקבו אחר חבילה אחת מתחילה ועד סוף

לקוח בכתובת 10.80.0.25 שולח אל 192.168.70.40 דרך המנהרה. המכונה מעבירה את החבילה אל ה-LAN. השירות עונה לנתב שלו, שבוחר את המכונה עבור מאגר הלקוחות, והמכונה מחזירה את החבילה דרך OpenVPN. כל קפיצה במשפט הזה היא מקום שבו התכנון יכול להיכשל.

בדקו עם היישום האמיתי מלקוח מרוחק, ואז חזרו על כך לאחר טעינה מחדש של התצורה המנוהלת גם במכונה וגם בנתב.

אם הלקוח מגיע למכונה אבל לא לשירות, בדקו קודם את המסלול של הנתב. אם השירות מקבל את הבקשה והלקוח אף פעם לא רואה את התשובה, מסלול החזרה הוא החשוד.