Dijeljenje VPN sesije hosta s VMware gostom

Vaše virtualno računalo ne može doći do internog sustava koji savršeno radi na hostu, a host je povezan preko klijenta koji posjeduje tablicu usmjeravanja. Premošćivanje virtualnog adaptera na tunel izgleda očigledno i propada iz dva odvojena razloga. Radi prevođenje na segmentu koji oba računala posjeduju. Cijena je stvarna: svaki gost prestaje imati vlastiti identitet na korporativnoj mreži.

Dva razloga zašto most ne može raditi

Klijentov adapter obično nosi jednu adresu, često /32, a klijent prepisuje hostove rute tako da običan odlazni promet preferira tunel. Aplikacije na hostu slušaju tu tablicu i dolaze do privatnog sustava. Gost za mostom uopće ne čita tablicu, jer njegovi okviri izlaze kroz preklopnik ispod IP sloja.

Stavljanje tunelskog adaptera u most riješilo bi put teoretski, a upravljački program to neće prihvatiti. Windows 10 također dopušta samo jedan mostni uređaj i uskraćuje ulogu usmjeravanja koja bi radnoj stanici omogućila prosljeđivanje između dvije podmreže. Ostaje prevođenje izvora. Učinite da gostov promet izgleda kao da dolazi s hosta, i odluke samog hosta nose ga u tunel bez potrebe da gost ima rutu koju ne može imati.

Napravite segment koji host posjeduje

U uređivaču virtualne mreže dodajte host-only mrežu poput VMnet3 na prefiksu koji nigdje drugdje ne usmjeravate, na primjer 172.28.90.0/24. Host uzima 172.28.90.1 na tom adapteru, a gost se priključuje na isti preklopnik. Onemogućite hipervizorov DHCP na tom segmentu da njime upravlja jedna adresna usluga.

Potvrdite da Windows vidi sučelje prije nego što na njemu nešto izgradite, jer cijeli dizajn zavisi od toga da taj adapter bude običan:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

Host-only adapter se tamo pojavljuje kao i svaki fizički. Upravo je to razlika u odnosu na tunelski adapter, koji se ne može priključiti ni na što.

Prevedite gostov prefiks

Otvorite sesiju s povišenim ovlastima i prevedite prefiks. Prvo provjerite što već postoji, jer kontejnerska okruženja i hipervizori instaliraju vlastita prevođenja, a brisanje pogrešnog kvari drugi proizvod.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Zatim konfigurirajte gosta sa statičkom adresom u tom prefiksu, 172.28.90.1 kao njegovim pristupnikom i adresama razrješivača koje tunel daje hostu. Prevođenje prosljeđuje pakete i ne uči gosta ništa o DNS-u, pa gost ostavljen na lokalnom usmjerivaču razrješava javna imena i pada na svakom internom.

Provjerite prvi skok, pa cijenu

Testirajte najbližu granicu prije testiranja aplikacije. Trag koji se zaustavlja na hostovom pristupniku znači da se prevođenje ne događa, dok onaj koji se zaustavlja iza hosta znači da je tunel pao ili je druga strana odbila prevedenu adresu.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Usporedite s vlastitim hostovim pristupom istoj destinaciji dok je tunel aktivan. Ako host uspije, a gost ne, kvar je u prevođenju ili u gostovoj postavci pristupnika, a ne u vezi.

Zatim prihvatite tu razmjenu. Korporativni sustavi sada vide jednu adresu za svakog gosta, pa certifikati uređaja i provjere stanja po uređaju ne mogu ih razlikovati, a neke politike to izričito zabranjuju. Odlučite i o ponašanju pri ispadanju, jer prevedeni promet može propasti na običnu internetsku putanju kad tunel padne, osim ako taj prefiks blokirate na hostovom vatrozidu.