VirtualBox VPN tarpinė LAN tinklui: tiltas, maršrutas, grįžimas

Tiltu prijunkite tarpinės VM prie LAN, paskelbkite LAN klientams ir pridėkite grupės maršrutą prie LAN maršrutizatoriaus. Išnagrinėtas IPv4 pavyzdys su tikrais grįžimo keliais.

Nuotoliniams vartotojams reikia pasiekti spausdintuvą ir failų serverį fiziniame LAN tinkle, o vienintelė nuolat veikianti Linux mašina yra VirtualBox VM. Šios VM prijungimas prie to LAN per tiltą yra pirmoji pusė. Antroji pusė – grįžimo maršrutas, kurį iš tikrųjų naudos kiekvienas LAN įrenginys, ir būtent šią dalį dauguma konfigūracijų praleidžia. Kai jo nėra, tunelis prisijungia, klientas pingina tarpinę, ir niekas kitas neatsako.

Naudokite pasiekiamus adresus

Nustatykite VM LAN adapterį į tam tinklui patvirtintą Bridged Adapter režimą ir suteikite jam adresą įprastu paskirstymo procesu. Tada VM fiziniame LAN tinkle atsiranda kaip bet kuri kita pagrindinė mašina. Jos numatytasis maršrutas turi toliau naudoti tikrąją tarpinę, kad šifruotas transportas į VPN partnerį liktų pasiekiamas. Nenaudokite numatytojo VirtualBox NAT adreso kaip kito LAN šuolio, nes tas adresas yra už virtualaus NAT ir nėra on-link pagrindinei mašinai ar kitoms LAN mašinoms.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Prieš rinkdamiesi adresų grupę, patikrinkite persidengimą su nuotolinių vartotojų namų tinklais. Persidengimas virsta maršrutizavimo dviprasmybe, kurios jokia serverio konfigūracija neištaiso.

Paskelbkite LAN, tada persiųskite

Serveriui, kurio autentifikavimas ir transportas jau valdomi, tinklo eilutės atrodo taip. Push pasako priimančiam klientui, kaip pasiekti LAN, ir pats savaime nepriverčia VM ko nors persiųsti.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Įjunkite IPv4 persiuntimą nuolatinėje VM tinklo konfigūracijoje ir leiskite klientų grupei pasiekti numatytas LAN paslaugas VM persiuntimo riboje. Leidimas pasiekti VPN klausytoją yra atskira taisyklė, ir ji jau veikia, jei tunelis pakilo.

Grįžimo maršrutas priklauso LAN maršrutizatoriui

LAN įrenginiai atsako per savo numatytąją tarpinę, kuri yra LAN maršrutizatorius adresu 192.168.70.1. Tas maršrutizatorius neturi supratimo, kur yra 10.80.0.0/24, jei jam nepasakys. Pridėkite grupės maršrutą prie palaikomos nuolatinės maršrutizatoriaus konfigūracijos, nukreiptą į VM LAN adresą. Pridėjus jį tik VirtualBox pagrindinėje mašinoje, sutvarkomi keliai, kurie klausia tos mašinos, o tai nėra kiekvienas LAN įrenginys.

ip route add 10.80.0.0/24 via 192.168.70.10

Paskirties vietos ugniasienė vis tiek turi leisti klientų grupę kaip šaltinį. Maršrutas neša paketą; jis nesuteikia paslaugos.

Jei LAN maršrutizatoriaus pakeisti negalima, alternatyva yra ribotas šaltinio vertimas VM. Jis grąžina atsakymus be maršruto ir paslepia atskirus klientų adresus nuo LAN paslaugos.

Sekite vieną paketą nuo pradžios iki pabaigos

Klientas adresu 10.80.0.25 siunčia į 192.168.70.40 per tunelį. VM persiunčia paketą į LAN. Paslauga atsako savo maršrutizatoriui, kuris klientų grupei parenka VM, ir VM grąžina paketą per OpenVPN. Kiekvienas to sakinio šuolis yra vieta, kur dizainas gali sugesti.

Išbandykite su tikra programa iš nuotolinio kliento, tada pakartokite perkėlę valdomą konfigūraciją tiek VM, tiek maršrutizatoriuje.

Jei klientas pasiekia VM, bet ne paslaugą, pirmiausia patikrinkite maršrutizatoriaus maršrutą. Jei paslauga gauna užklausą, o klientas niekada nemato atsakymo, įtariamas yra grįžimo kelias.

Susiję straipsniai