Berbagi sesi VPN host dengan tamu VMware

Mesin virtual Anda tidak dapat menjangkau sistem internal yang berfungsi sempurna di host, dan host terhubung melalui klien yang memiliki tabel perutean. Menjembatani adaptor virtual ke terowongan tampak jelas dan gagal karena dua alasan terpisah. Yang berhasil adalah penerjemahan pada segmen yang dimiliki kedua mesin. Biayanya nyata: setiap tamu berhenti memiliki identitasnya sendiri di jaringan perusahaan.

Dua alasan jembatan tidak dapat berfungsi

Adaptor klien biasanya membawa satu alamat, sering /32, dan klien menulis ulang rute host sehingga lalu lintas keluar biasa lebih memilih terowongan. Aplikasi di host mematuhi tabel itu dan mencapai sistem privat. Tamu yang dijembatani tidak pernah membaca tabel sama sekali, karena framenya keluar melalui switch di bawah lapisan IP.

Menempatkan adaptor terowongan ke dalam jembatan secara teori akan menyelesaikan jalur, dan pengemudi tidak akan menerimanya. Windows 10 juga hanya mengizinkan satu perangkat jembatan dan menahan peran perutean yang akan memungkinkan stasiun kerja meneruskan antar dua subnet. Yang tersisa adalah penerjemahan sumber. Buat lalu lintas tamu tampak berasal dari host, dan keputusan host sendiri membawanya ke terowongan tanpa tamu memerlukan rute yang tidak mungkin dimilikinya.

Buat segmen yang dimiliki host

Di editor jaringan virtual, tambahkan jaringan host-only seperti VMnet3 pada prefiks yang tidak Anda rutekan di tempat lain, misalnya 172.28.90.0/24. Host mengambil 172.28.90.1 pada adaptor itu dan tamu terhubung ke switch yang sama. Nonaktifkan DHCP hypervisor pada segmen itu agar satu layanan alamat memilikinya.

Pastikan Windows melihat antarmuka sebelum Anda membangun apa pun di atasnya, karena seluruh desain bergantung pada adaptor itu bersifat biasa:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

Adaptor host-only muncul di sana seperti adaptor fisik mana pun. Justru itulah perbedaannya dengan adaptor terowongan, yang tidak dapat dipasang ke apa pun.

Terjemahkan prefiks tamu

Buka sesi dengan hak tinggi dan terjemahkan prefiks. Periksa dulu apa yang sudah ada, karena runtime kontainer dan hypervisor memasang terjemahannya sendiri dan menghapus yang salah merusak produk lain.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Lalu konfigurasikan tamu dengan alamat statis di prefiks itu, 172.28.90.1 sebagai gateway-nya, dan alamat resolver yang diberikan terowongan kepada host. Penerjemahan meneruskan paket dan tidak mengajari tamu apa pun tentang DNS, jadi tamu yang dibiarkan di router lokal menyelesaikan nama publik dan gagal pada setiap nama internal.

Periksa lompatan pertama, lalu biayanya

Uji batas terdekat sebelum menguji aplikasi. Jejak yang berhenti di gateway host berarti penerjemahan tidak terjadi, sedangkan yang berhenti di luar host berarti terowongan mati atau sisi jauh menolak alamat yang diterjemahkan.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Bandingkan dengan akses host sendiri ke tujuan yang sama selama terowongan aktif. Jika host berhasil dan tamu tidak, kesalahannya ada pada penerjemahan atau pengaturan gateway tamu, bukan pada koneksi.

Lalu terima pertukaran itu. Sistem perusahaan kini melihat satu alamat untuk setiap tamu, sehingga sertifikat perangkat dan pemeriksaan postur per perangkat tidak dapat membedakannya, dan sebagian kebijakan melarangnya sama sekali. Tentukan juga perilaku drop, karena lalu lintas yang diterjemahkan dapat jatuh ke jalur internet biasa ketika terowongan gagal, kecuali Anda memblokir prefiks itu di firewall host.