Berkongsi sesi VPN hos dengan tetamu VMware

Mesin maya anda tidak dapat mencapai sistem dalaman yang berfungsi sempurna pada hos, dan hos disambungkan melalui klien yang memiliki jadual penghalaan. Menjambatani penyesuai maya ke terowong kelihatan jelas dan gagal atas dua sebab berasingan. Yang berkesan ialah penterjemahan pada segmen yang dimiliki kedua-dua mesin. Kosnya nyata: setiap tetamu kehilangan identitinya sendiri pada rangkaian korporat.

Dua sebab jambatan tidak dapat berfungsi

Penyesuai klien biasanya membawa satu alamat, selalunya /32, dan klien menulis semula laluan hos supaya trafik keluar biasa lebih mengutamakan terowong. Aplikasi pada hos mematuhi jadual itu dan mencapai sistem peribadi. Tetamu yang dijambatani tidak membaca jadual itu langsung, kerana rangkanya keluar melalui suis di bawah lapisan IP.

Meletakkan penyesuai terowong ke dalam jambatan akan menyelesaikan laluan secara teori, dan pemandu tidak akan menerimanya. Windows 10 juga hanya membenarkan satu peranti jambatan dan menahan peranan penghalaan yang akan membolehkan stesen kerja memajukan antara dua subrangkaian. Yang tinggal ialah penterjemahan sumber. Jadikan trafik tetamu kelihatan datang dari hos, dan keputusan hos sendiri membawanya ke dalam terowong tanpa tetamu memerlukan laluan yang tidak mungkin dimilikinya.

Cipta segmen yang dimiliki hos

Dalam editor rangkaian maya, tambah rangkaian hos sahaja seperti VMnet3 pada awalan yang anda tidak halakan di tempat lain, contohnya 172.28.90.0/24. Hos mengambil 172.28.90.1 pada penyesuai itu dan tetamu menyertai suis yang sama. Lumpuhkan DHCP hypervisor pada segmen itu supaya satu perkhidmatan alamat memilikinya.

Sahkan Windows dapat melihat antara muka sebelum anda membina apa-apa di atasnya, kerana seluruh reka bentuk bergantung pada penyesuai itu bersifat biasa:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

Penyesuai hos sahaja muncul di sana seperti mana-mana penyesuai fizikal. Itulah tepatnya perbezaan dengan penyesuai terowong, yang tidak boleh dipasang pada apa-apa.

Terjemahkan awalan tetamu

Buka sesi tinggi dan terjemahkan awalan itu. Semak dahulu apa yang sudah wujud, kerana runtime kontena dan hypervisor memasang terjemahan mereka sendiri dan memadam yang salah merosakkan produk lain.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Kemudian konfigurasikan tetamu dengan alamat statik dalam awalan itu, 172.28.90.1 sebagai getnya, dan alamat penyelesai yang diberikan terowong kepada hos. Penterjemahan memajukan paket dan tidak mengajar tetamu apa-apa tentang DNS, jadi tetamu yang ditinggalkan pada penghala tempatan menyelesaikan nama awam dan gagal pada setiap nama dalaman.

Semak lompatan pertama, kemudian kosnya

Uji sempadan terdekat sebelum menguji aplikasi. Surih yang berhenti di get hos bermakna penterjemahan tidak berlaku, manakala yang berhenti di luar hos bermakna terowong mati atau pihak jauh menolak alamat yang diterjemahkan.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Bandingkan dengan akses hos sendiri ke destinasi yang sama semasa terowong hidup. Jika hos berjaya dan tetamu tidak, kesalahannya terletak pada penterjemahan atau pada tetapan get tetamu, bukan pada sambungan.

Kemudian terima pertukaran itu. Sistem korporat kini melihat satu alamat bagi setiap tetamu, jadi sijil peranti dan pemeriksaan postur setiap peranti tidak dapat membezakannya, dan sesetengah dasar melarangnya sama sekali. Tentukan juga tingkah laku drop, kerana trafik yang diterjemahkan boleh jatuh ke laluan internet biasa apabila terowong gagal, melainkan anda menyekat awalan itu pada firewall hos.