Cara mencapai layanan privat melalui VPN di mesin virtual

Perlakukan tamu dan Mac sebagai dua jaringan terpisah yang disatukan oleh satu pintu sempit. Mesin virtual menyimpan klien VPN dan jalur internetnya sendiri; Mac mencapai tepat satu layanan melalui adaptor khusus host dan satu port yang diteruskan. Tidak ada yang lain yang boleh lewat. Ikuti langkah-langkahnya berurutan, dan berhenti saat salah satunya gagal, karena setiap langkah berikutnya menganggap langkah sebelumnya bertahan.

Catat kedua jalur sebelum mengubah apa pun

Di tamu, ipconfig /all menampilkan adaptor yang membawa transport VPN dan alamat yang diterimanya dari DHCP jaringan virtual. Di Mac, catat antarmuka virtual yang dibuat hipervisor untuk segmen itu; dengan VMware Fusion perangkat khusus host biasanya vmnet1, dan Parallels memberi namanya sendiri. Perhatikan siapa yang membagikan alamat di sana, lalu tulis semuanya, karena subnet khusus host sering dialokasikan ulang saat jaringan virtual dibuat ulang. Periksa mode jaringan mesin virtual di hipervisor, bukan di ingatan Anda tentangnya. Mode bersama atau NAT untuk adaptor yang menghadap internet ditambah mode khusus host untuk adaptor yang menghadap Mac adalah susunan yang diasumsikan langkah-langkah ini.

Dua adaptor, dua tujuan. Mencampurnya sehingga satu adaptor melayani Mac dan internet sekaligus itulah yang mengubah pintu sempit menjadi jalur yang dirutekan.

Pastikan dulu VPN milik tamu sendiri

Jalankan klien di dalam Windows dan pastikan ia berakhir, dengan uji apa pun yang didokumentasikan vendor. Jangan lanjut sebelum tamu sendirian mencapai layanan privat, karena masalah penerusan yang menumpuk di atas terowongan rusak punya dua sebab dan tidak memberi pesan galat yang berguna. Catat alamat privat tempat layanan itu diselesaikan dari dalam tamu. Alamat itulah satu-satunya yang harus disebut aturan penerusan.

Jika klien mendorong terowongan penuh, adaptor khusus host tetap membawa lalu lintas lokal, tetapi pastikan tujuan privat tidak ditangkap terowongan dengan cara yang mengubah alamatnya. Profil terowongan terbagi membuat ini lebih sederhana dan layak diminta kepada siapa pun yang memiliki VPN.

Tambahkan jalur khusus host dan uji sendiri

Pasang adaptor khusus host ke tamu, beri alamat statis pada subnet yang tidak dipakai apa pun, dan pastikan Mac dapat melakukan ping ke sana. Uji dengan VPN tersambung dan terputus, karena alamat itu harus bertahan pada keduanya. Tamu yang hanya menjawab selama terowongannya menyala punya masalah perutean yang belum Anda temukan.

Windows mungkin menggolongkan adaptor baru sebagai jaringan publik, yang secara bawaan memblokir lalu lintas masuk. Atur profilnya sebelum Anda mendebug hal lain.

Teruskan satu port, bukan subnet

Utamakan satu port yang diteruskan daripada penerusan IP umum. Windows menyertakan netsh interface portproxy, yang meneruskan port pendengar ke host dan port tujuan, dan ia membutuhkan layanan IP Helper berjalan.

Selalu setel listenaddress ke alamat khusus host. Menghilangkannya mengikat semua antarmuka, yang memaparkan layanan ke jaringan mana pun tempat mesin virtual berada. Tambahkan aturan firewall yang dibatasi pada antarmuka khusus host dan satu port itu, agar pendengar dan izinnya sejalan. Aplikasi yang sadar proxy mungkin lebih suka proxy kecil di dalam tamu, yang menutup koneksi dan tidak memerlukan rute balik ke Mac. Pilih proxy bila protokol mengizinkannya, karena ia gagal tertutup berdasarkan konstruksinya.

Verifikasi, lalu tulis pembatalannya

Dari Mac, selesaikan nama privat, jalankan operasi yang dimaksud, lalu hentikan VPN tamu dan pastikan operasinya gagal alih-alih mundur diam-diam. Pemeriksaan terakhir itulah yang membuktikan jalur ini yang Anda bangun. Catat identitas apa yang dilihat gateway dan siapa yang boleh memakai penerusan.

Tulis pembatalan dalam tiga langkah: hapus entri portproxy, hapus aturan firewall, lepaskan adaptor khusus host. Lalu jalankan sekali, sebelum Anda membutuhkannya, dan pastikan VPN milik tamu masih bekerja sesudahnya. Jika organisasi Anda mewajibkan setiap Mac mendaftar sendiri, berhentilah di sini dan gunakan model itu, karena titik penerusan bersama memusatkan akses pada satu tamu. Bagaimanapun, masukkan alamat dan port ke catatan perubahan; orang berikutnya tidak akan ingin menemukannya lagi.