Хосттун VPN сессиясын VMware коногу менен бөлүшүү

Туннель адаптери көпүрөгө кошулбайт, ал эми Windows 10 ички тармактардын ортосунда маршруттабайт. NAT менен host-only сегмент конокту ташыйт.

Сиздин виртуалдык машинаңыз хостто кемчиликсиз иштеген ички системага жете албайт, ал эми хост маршруттоо таблицасына ээ клиент аркылуу туташкан. Виртуалдык адаптерди туннелге көпүрө аркылуу кошуу ачык көрүнөт жана эки өзүнчө себептен улам ийгиликсиз болот. Эки машина тең ээлик кылган сегментте которуу иштейт. Баасы чыныгы: ар бир конок корпоративдик тармакта өз инсандыгын жоготот.

Көпүрө иштей албашынын эки себеби

Клиенттин адаптери адатта бир даректи алып жүрөт, көбүнчө /32, жана клиент хосттун маршруттарын кайра жазат, ошондуктан кадимки чыгуучу трафик туннелди артык көрөт. Хосттогу колдонмолор ошол таблицага багынып, жеке системага жетишет. Көпүрөгө кошулган конок таблицаны такыр окубайт, анткени анын кадрлары IP катмарынын астындагы коммутатор аркылуу чыгат.

Туннель адаптерин көпүрөгө салуу жолду теориялык жактан чечмек, бирок драйвер муну кабыл албайт. Windows 10 ошондой эле бир гана көпүрө түзмөгүнө уруксат берет жана жумуш станциясынын эки ички тармактын ортосунда өткөрүүсүнө мүмкүндүк берген маршруттоо ролун бербейт. Калганы — булакты которуу. Коноктун трафигин хосттон келгендей кылып көрсөтүңүз, ошондо хосттун өз чечимдери аны туннелге алып барат, конок өзүндө болушу мүмкүн эмес маршрутка муктаж болбойт.

Хостко таандык сегмент түзүңүз

Виртуалдык тармак редакторунда башка жерде маршруттабаган префикске, мисалы 172.28.90.0/24, VMnet3 сыяктуу host-only тармагын кошуңуз. Хост ошол адаптерде 172.28.90.1 дарегин алат, ал эми конок ошол эле коммутаторго кошулат. Ошол сегментте гипервизордун DHCP кызматын өчүрүңүз, бир дарек кызматы ага ээлик кылсын.

Анын үстүнө бир нерсе куруудан мурун Windows интерфейсти көрөрүн текшериңиз, анткени бүт долбоор ошол адаптердин кадимки болушуна көз каранды:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

host-only адаптери ал жерде каалаган физикалык адаптер сыяктуу көрүнөт. Эч нерсеге тиркелбеген туннель адаптеринен так ушунусу менен айырмаланат.

Коноктун префиксин которуңуз

Жогорулатылган сессия ачып, префиксти которуңуз. Адегенде эмне бар экенин текшериңиз, анткени контейнер аткаруу чөйрөлөрү жана гипервизорлор өз котормолорун орнотушат, туура эмесин жок кылуу башка продуктуну бузат.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Андан кийин конокту ошол префикстеги статикалык дарек менен, анын дарбазасы катары 172.28.90.1 жана туннель хостко берген чечүүчү даректер менен жөндөңүз. Которуу пакеттерди өткөрөт жана конокко DNS жөнүндө эч нерсе үйрөтпөйт, ошондуктан жергиликтүү маршруттагычта калган конок коомдук аттарды чечет жана ар бир ички атта ийгиликсиз болот.

Алгачкы секиришти, анан бааны текшериңиз

Эң жакын чекти сынаңыз колдонмону сынаардан мурун. Хосттун дарбазасында токтогон из которуу болуп жатпаганын билдирет, ал эми хосттон ары токтогон из туннелдин өчкөнүн же каршы тарап которулган даректи четке какканын билдирет.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Туннель күйүп турганда хосттун ошол эле багытка өз жетүүсү менен салыштырыңыз. Эгер хост ийгиликтүү болуп, конок болбосо, кемчилик которууда же коноктун дарбаза жөндөөсүндө, байланышта эмес.

Анан бул алмашууну кабыл алыңыз. Корпоративдик системалар эми ар бир конок үчүн бир даректи көрөт, ошондуктан түзмөк сертификаттары жана ар бир түзмөктүн абалын текшерүү аларды айырмалай албайт, ал эми айрым саясаттар муну такыр тыят. Түшүп калуу жүрүм-турумун да чечиңиз, анткени которулган трафик туннель иштебей калганда кадимки интернет жолуна түшүшү мүмкүн, эгер ошол префиксти хосттун firewall-унда бөгөттөбөсөңүз.

Тектеш макалалар