VMware 게스트와 호스트 VPN 세션 공유하기

터널 어댑터는 브리지에 참여하지 않고 Windows 10은 서브넷 사이를 라우팅하지 않습니다. NAT가 있는 호스트 전용 세그먼트가 대신 게스트를 전달합니다.

가상 머신이 호스트에서 완벽하게 동작하는 내부 시스템에 도달하지 못하며, 호스트는 라우팅 테이블을 소유한 클라이언트를 통해 연결되어 있습니다.가상 어댑터를 터널에 브리지하기당연해 보이지만 두 가지 별개의 이유로 실패합니다. 두 머신이 함께 소유한 세그먼트에서의 변환이 동작합니다. 대가는 실제입니다 — 모든 게스트가 기업 네트워크에서 고유한 정체성을 잃습니다.

브리지가 동작할 수 없는 두 가지 이유

클라이언트의 어댑터는 보통 하나의 주소를 가지며 흔히 /32이고, 클라이언트는 호스트의 경로를 다시 써서 일반 아웃바운드 트래픽이 터널을 선호하게 합니다. 호스트의 애플리케이션은 그 테이블을 따르며 사설 시스템에 도달합니다. 브리지된 게스트는 테이블을 전혀 읽지 않습니다 — 프레임이 IP 계층 아래의 스위치를 통해 나가기 때문입니다.

터널 어댑터를 브리지에 넣으면 이론상 경로가 해결되지만, 드라이버가 받아들이지 않습니다. Windows 10은 또한 브리지 장치를 하나만 허용하고, 워크스테이션이 두 서브넷 사이를 전달하게 할 라우팅 역할을 주지 않습니다. 남는 것은 소스 변환입니다. 게스트의 트래픽이 호스트에서 오는 것처럼 보이게 하면, 호스트 자체의 결정이 그것을 터널로 실어 나르며 게스트는 가질 수 없는 경로를 필요로 하지 않습니다.

호스트가 소유한 세그먼트 만들기

가상 네트워크 편집기에서 다른 곳에서는 라우팅하지 않는 프리픽스, 예를 들어 172.28.90.0/24에 VMnet3 같은 호스트 전용 네트워크를 추가합니다. 호스트는 그 어댑터에서 172.28.90.1을 갖고 게스트는 같은 스위치에 연결됩니다. 그 세그먼트에서 하이퍼바이저의 DHCP를 끄어 하나의 주소 서비스가 그것을 소유하게 합니다.

그 위에 무엇이든 만들기 전에 Windows가 인터페이스를 보는지 확인하십시오(설계 전체가 그 어댑터가 평범하다는 데 달려 있습니다):

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

호스트 전용 어댑터는 물리 어댑터와 똑같이 나타납니다. 무엇에도 붙일 수 없는 터널 어댑터와의 차이가 바로 그것입니다.

게스트의 프리픽스 변환하기

권한이 높은 세션을 열고 프리픽스를 변환합니다. 먼저 무엇이 이미 있는지 확인하십시오 — 컨테이너 런타임과 하이퍼바이저가 자체 변환을 설치하며 잘못된 것을 지우면 다른 제품이 깨집니다.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

그다음 게스트를 그 프리픽스의 고정 주소, 게이트웨이로서의 172.28.90.1, 그리고 터널이 호스트에 주는 리졸버 주소로 구성합니다. 변환은 패킷을 전달할 뿐 게스트에게 DNS에 대해 아무것도 가르치지 않으므로, 로컬 라우터에 남은 게스트는 공용 이름을 확인하고 모든 내부 이름에서 실패합니다.

첫 홉을 확인하고, 그다음 비용을 확인하십시오

가장 가까운 경계를 시험하십시오애플리케이션을 시험하기 전에. 호스트 게이트웨이에서 멈추는 추적은 변환이 일어나지 않음을 뜻하고, 호스트 너머에서 멈추는 추적은 터널이 끊겼거나 반대편이 변환된 주소를 거부했음을 뜻합니다.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

터널이 올라와 있는 동안 같은 목적지에 대한 호스트 자체의 접근과 비교하십시오. 호스트가 성공하고 게스트가 실패한다면 결함은 변환이나 게스트의 게이트웨이 설정에 있고 연결에 있지 않습니다.

그다음 이 거래를 받아들이십시오. 기업 시스템은 이제 모든 게스트에 하나의 주소를 보므로, 장치 인증서와 장치별 상태 검사가 그것들을 구별할 수 없고, 일부 정책은 이를 아예 금지합니다. 드롭 동작도 정하십시오 — 터널이 실패할 때 변환된 트래픽이 일반 인터넷 경로로 떨어질 수 있으며, 호스트 방화벽에서 그 프리픽스를 차단하지 않는 한 그렇습니다.

관련 글