Cara mencapai perkhidmatan peribadi melalui VPN dalam mesin maya

Anggap tetamu dan Mac sebagai dua rangkaian berasingan yang disambungkan oleh satu pintu sempit. Mesin maya menyimpan klien VPN dan laluan internetnya sendiri; Mac mencapai tepat satu perkhidmatan melalui penyesuai khusus hos dan satu port yang diteruskan. Tiada apa-apa lagi yang harus melintas. Ikut langkah-langkah mengikut urutan, dan berhenti apabila satu gagal, kerana setiap langkah seterusnya menganggap langkah sebelumnya bertahan.

Catat kedua-dua laluan sebelum mengubah apa-apa

Pada tetamu, ipconfig /all memaparkan penyesuai yang membawa pengangkutan VPN dan alamat yang diterimanya daripada DHCP rangkaian maya. Pada Mac, catat antara muka maya yang dicipta oleh hypervisor untuk segmen itu; dengan VMware Fusion peranti khusus hos biasanya vmnet1, dan Parallels memberikan namanya sendiri. Perhatikan siapa yang mengagihkan alamat di sana, kemudian tulis semuanya, kerana subnet khusus hos sering diperuntukkan semula apabila rangkaian maya dicipta semula. Semak mod rangkaian mesin maya dalam hypervisor, bukan dalam ingatan anda tentangnya. Mod dikongsi atau NAT untuk penyesuai yang menghadap internet ditambah mod khusus hos untuk penyesuai yang menghadap Mac ialah susunan yang dianggap oleh langkah-langkah ini.

Dua penyesuai, dua tujuan. Mencampurkannya supaya satu penyesuai melayani Mac dan internet sekali gus itulah yang menjadikan pintu sempit sebagai laluan yang dihalakan.

Sahkan VPN tetamu sendiri dahulu

Mulakan klien di dalam Windows dan sahkan ia tamat, dengan ujian apa pun yang didokumenkan oleh vendor. Jangan teruskan sehingga tetamu bersendirian mencapai perkhidmatan peribadi, kerana masalah penghantaran yang bertindih pada terowong rosak mempunyai dua punca dan tiada mesej ralat yang berguna. Catat alamat peribadi yang menjadi tempat perkhidmatan itu diselesaikan dari dalam tetamu. Alamat itulah satu-satunya yang perlu dinamakan oleh peraturan penghantaran.

Jika klien menolak terowong penuh, penyesuai khusus hos masih membawa trafik tempatan, tetapi sahkan bahawa destinasi peribadi tidak ditangkap oleh terowong dengan cara yang mengubah alamatnya. Profil terowong berpecah menjadikan ini lebih mudah dan wajar diminta daripada sesiapa yang memiliki VPN.

Tambah cawangan khusus hos dan ujinya bersendirian

Sambungkan penyesuai khusus hos pada tetamu, berikannya alamat statik pada subnet yang tiada apa-apa lain gunakan, dan sahkan Mac boleh melakukan ping ke atasnya. Uji dengan VPN disambungkan dan diputuskan, kerana alamat itu harus bertahan kedua-duanya. Tetamu yang hanya menjawab selagi terowongnya naik mempunyai masalah penghalaan yang belum anda temui.

Windows mungkin mengklasifikasikan penyesuai baharu sebagai rangkaian awam, yang menyekat trafik masuk secara lalai. Tetapkan profil sebelum anda menyahpepijat apa-apa lagi.

Teruskan satu port, bukan subnet

Utamakan satu port yang diteruskan berbanding penghantaran IP umum. Windows menyediakan netsh interface portproxy, yang meneruskan port mendengar ke hos dan port destinasi, dan ia memerlukan perkhidmatan IP Helper berjalan.

Sentiasa tetapkan listenaddress pada alamat khusus hos. Meninggalkannya mengikat semua antara muka, yang mendedahkan perkhidmatan kepada mana-mana rangkaian tempat mesin maya berada. Tambah peraturan firewall yang terhad kepada antara muka khusus hos dan port yang satu itu, supaya pendengar dan kebenaran sepadan. Aplikasi yang memahami proksi mungkin lebih suka proksi kecil di dalam tetamu, yang menamatkan sambungan dan tidak memerlukan laluan balik ke Mac. Pilih proksi apabila protokol membenarkannya, kerana ia gagal tertutup secara binaan.

Sahkan, kemudian tulis pengunduran

Dari Mac, selesaikan nama peribadi, jalankan operasi yang dimaksudkan, kemudian hentikan VPN tetamu dan sahkan operasi itu gagal dan bukannya berundur secara senyap. Semakan terakhir itulah yang membuktikan laluan itu ialah yang anda bina. Catat identiti apa yang dilihat oleh get laluan dan siapa yang dibenarkan menggunakan penghantaran.

Tulis pengunduran dalam tiga langkah: buang entri portproxy, buang peraturan firewall, tanggalkan penyesuai khusus hos. Kemudian jalankannya sekali, sebelum anda memerlukannya, dan sahkan VPN tetamu sendiri masih berfungsi selepas itu. Jika organisasi anda memerlukan setiap Mac mendaftar secara berasingan, berhenti di sini dan gunakan model itu, kerana titik penghantaran bersama menumpukan akses pada satu tetamu. Walau apa pun, letakkan alamat dan port dalam rekod perubahan; orang seterusnya tidak akan mahu menemukannya semula.