VirtualBox VPN vārteja LAN tīklam: tilts, maršruts, atgriešanās

Savienojiet vārtejas VM ar LAN caur tiltu, paziņojiet LAN klientiem un pievienojiet kopas maršrutu LAN maršrutētājam. Izstrādāts IPv4 piemērs ar īstiem atgriešanās ceļiem.

Attālinātiem lietotājiem jāsasniedz printeris un failu serveris fiziskā LAN tīklā, un vienīgā pastāvīgi ieslēgtā Linux mašīna ir VirtualBox VM. Šīs VM pievienošana tam LAN caur tiltu ir pirmā puse. Otrā puse ir atgriešanās maršruts, ko patiešām izmantos katra LAN ierīce, un tieši šo daļu lielākā daļa konfigurāciju izlaiž. Kad tā nav, tunelis savienojas, klients pingē vārteju, un nekas cits neatbild.

Izmantojiet sasniedzamas adreses

Iestatiet VM LAN adapteri uz šim tīklam apstiprināto Bridged Adapter režīmu un piešķiriet tam adresi parastajā sadales procesā. Tad VM fiziskajā LAN tīklā parādās kā jebkurš cits resursdators. Tā noklusējuma maršrutam joprojām jāizmanto īstā vārteja, lai šifrētais transports uz VPN partneri paliktu sasniedzams. Neizmantojiet VirtualBox noklusējuma NAT adresi kā nākamo LAN lēcienu, jo šī adrese atrodas aiz virtuāla NAT un nav on-link resursdatoram vai citām LAN mašīnām.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Pirms adrešu kopas izvēles pārbaudiet pārklāšanos ar attālināto lietotāju mājas tīkliem. Pārklāšanās pārvēršas maršrutēšanas neskaidrībā, ko neviena servera konfigurācija neizlabo.

Paziņojiet LAN un pēc tam pārsūtiet

Serverim, kura autentifikācija un transports jau tiek pārvaldīti, tīkla rindas izskatās šādi. Push pasaka pieņemošajam klientam, kā sasniegt LAN, un tas pats par sevi neliek VM kaut ko pārsūtīt.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Iespējojiet IPv4 pārsūtīšanu VM pastāvīgajā tīkla konfigurācijā un ļaujiet klientu kopai sasniegt paredzētos LAN pakalpojumus VM pārsūtīšanas robežā. Atļauja sasniegt VPN klausītāju ir atsevišķs noteikums, un tā jau darbojas, ja tunelis ir pacēlies.

Atgriešanās maršruts pieder LAN maršrutētājam

LAN ierīces atbild caur savu noklusējuma vārteju, kas ir LAN maršrutētājs adresē 192.168.70.1. Šim maršrutētājam nav ne jausmas, kur atrodas 10.80.0.0/24, ja vien to nepasaka. Pievienojiet kopas maršrutu maršrutētāja atbalstītajai pastāvīgajai konfigurācijai, vēršot to uz VM LAN adresi. Pievienojot to tikai VirtualBox resursdatorā, tiek salaboti ceļi, kas jautā šim resursdatoram, un tas nav katra LAN ierīce.

ip route add 10.80.0.0/24 via 192.168.70.10

Galamērķa paša ugunsmūrim joprojām jāatļauj klientu kopa kā avots. Maršruts nes pakešu; tas nepiešķir pakalpojumu.

Ja LAN maršrutētāju nevar mainīt, alternatīva ir ierobežota avota tulkošana VM. Tā liek atbildēm atgriezties bez maršruta, un tā slēpj atsevišķās klientu adreses no LAN pakalpojuma.

Izsekojiet vienu pakešu no sākuma līdz beigām

Klients adresē 10.80.0.25 sūta uz 192.168.70.40 pa tuneli. VM pārsūta pakešu uz LAN. Pakalpojums atbild savam maršrutētājam, kas klientu kopai izvēlas VM, un VM atgriež pakešu caur OpenVPN. Katrs lēciens šajā teikumā ir vieta, kur dizains var ciest neveiksmi.

Pārbaudiet ar īstu lietojumprogrammu no attālināta klienta, pēc tam atkārtojiet pēc pārvaldītās konfigurācijas atkārtotas ielādes gan VM, gan maršrutētājā.

Ja klients sasniedz VM, bet ne pakalpojumu, vispirms pārbaudiet maršrutētāja maršrutu. Ja pakalpojums saņem pieprasījumu un klients nekad neredz atbildi, aizdomīgs ir atgriešanās ceļš.

Saistītie raksti