Gateway VPN VirtualBox untuk LAN: jembatan, rute, balik

Pengguna jarak jauh perlu menjangkau printer dan server file di LAN fisik, dan satu-satunya mesin Linux yang selalu menyala adalah VM VirtualBox. Menjembatani VM ke LAN itu adalah paruh pertama. Paruh kedua adalah rute balik yang benar-benar akan dipakai setiap perangkat di LAN, dan itulah bagian yang paling sering terlewat. Saat rute itu tidak ada, terowongan tersambung, klien mem-ping gateway, dan tidak ada lagi yang menjawab.

Gunakan alamat yang bisa dijangkau

Setel adaptor LAN VM ke mode Bridged Adapter yang disetujui untuk jaringan itu, dan beri alamat melalui proses alokasi biasa. VM lalu muncul di LAN fisik seperti host lain. Rute defaultnya harus tetap memakai gateway sebenarnya, agar transport terenkripsi ke peer VPN tetap terjangkau. Jangan pakai alamat NAT default VirtualBox sebagai hop berikutnya untuk LAN, karena alamat itu berada di balik NAT virtual dan bukan on-link bagi host atau mesin lain di LAN.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Periksa tumpang tindih dengan jaringan rumah pengguna jarak jauh sebelum memilih kumpulan alamat. Tumpang tindih berubah menjadi ambiguitas perutean yang tidak bisa diperbaiki konfigurasi server mana pun.

Umumkan LAN, lalu teruskan

Untuk server yang autentikasi dan transportnya sudah dikelola, baris jaringannya tampak seperti ini. Push memberi tahu klien yang menerima cara menjangkau LAN, dan itu sendiri tidak membuat VM meneruskan apa pun.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Aktifkan penerusan IPv4 dalam konfigurasi jaringan permanen VM, dan izinkan kumpulan klien menjangkau layanan LAN yang dimaksud di batas penerusan VM. Izin menjangkau listener VPN adalah aturan terpisah, dan itu sudah berfungsi jika terowongan sudah naik.

Rute balik ada di router LAN

Perangkat di LAN membalas melalui gateway defaultnya, yaitu router LAN di 192.168.70.1. Router itu tidak tahu di mana 10.80.0.0/24 berada kecuali diberi tahu. Tambahkan rute kumpulan alamat ke konfigurasi permanen router yang didukung, mengarah ke alamat LAN VM. Menambahkannya hanya di host VirtualBox memperbaiki jalur yang menanyakan host itu, dan itu bukan setiap perangkat di LAN.

ip route add 10.80.0.0/24 via 192.168.70.10

Firewall tujuan sendiri tetap harus mengizinkan kumpulan klien sebagai sumber. Rute membawa paket; rute tidak memberi layanan.

Jika router LAN tidak bisa diubah, terjemahan sumber terbatas di VM adalah alternatifnya. Itu membuat balasan kembali tanpa rute, dan menyembunyikan alamat klien satu per satu dari layanan LAN.

Ikuti satu paket dari awal sampai akhir

Klien di 10.80.0.25 mengirim ke 192.168.70.40 melalui terowongan. VM meneruskan paket ke LAN. Layanan membalas ke routernya, yang memilih VM untuk kumpulan klien, dan VM mengembalikan paket melalui OpenVPN. Setiap lompatan dalam kalimat itu adalah tempat desain bisa gagal.

Uji dengan aplikasi sebenarnya dari klien jarak jauh, lalu ulangi setelah memuat ulang konfigurasi terkelola di VM dan di router.

Jika klien menjangkau VM tetapi tidak menjangkau layanan, periksa rute router lebih dulu. Jika layanan menerima permintaan dan klien tidak pernah melihat balasannya, jalur balik itulah yang dicurigai.