Gerbang VPN VirtualBox untuk LAN: jambatan, laluan, pulang

Pengguna jauh perlu mencapai pencetak dan pelayan fail pada LAN fizikal, dan satu-satunya mesin Linux yang sentiasa hidup ialah VM VirtualBox. Menjambatani VM itu ke LAN berkenaan ialah separuh pertama. Separuh kedua ialah laluan pulang yang benar-benar akan digunakan oleh setiap peranti di LAN, dan itulah bahagian yang terlepas oleh kebanyakan persediaan. Apabila ia tiada, terowong bersambung, klien mengeping gerbang, dan tiada apa lagi yang menjawab.

Gunakan alamat yang boleh dicapai

Tetapkan penyesuai LAN VM kepada mod Bridged Adapter yang diluluskan untuk rangkaian itu, dan berikannya alamat melalui proses peruntukan biasa. VM kemudian muncul di LAN fizikal seperti mana-mana hos lain. Laluan lalainya mesti terus menggunakan gerbang sebenar, supaya pengangkutan tersulit ke rakan VPN kekal boleh dicapai. Jangan gunakan alamat NAT lalai VirtualBox sebagai hop seterusnya untuk LAN, kerana alamat itu berada di belakang NAT maya dan bukan on-link untuk hos atau mesin lain di LAN.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Semak pertindihan dengan rangkaian rumah pengguna jauh sebelum memilih kolam alamat. Pertindihan menjadi kekaburan penghalaan yang tidak dapat dibaiki oleh mana-mana konfigurasi pelayan.

Umumkan LAN, kemudian majukan

Bagi pelayan yang pengesahan dan pengangkutannya sudah diurus, baris rangkaian kelihatan seperti ini. Push memberitahu klien yang menerima cara mencapai LAN, dan ia sendiri tidak membuat VM memajukan apa-apa.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Dayakan pemajuan IPv4 dalam konfigurasi rangkaian kekal VM, dan benarkan kolam klien mencapai perkhidmatan LAN yang dimaksudkan pada sempadan pemajuan VM. Kebenaran untuk mencapai pendengar VPN ialah peraturan berasingan, dan ia sudah berfungsi jika terowong naik.

Laluan pulang terletak pada penghala LAN

Peranti di LAN membalas melalui gerbang lalai mereka, iaitu penghala LAN pada 192.168.70.1. Penghala itu tidak tahu di mana 10.80.0.0/24 berada melainkan diberitahu. Tambahkan laluan kolam ke konfigurasi kekal penghala yang disokong, menuju alamat LAN VM. Menambahnya hanya pada hos VirtualBox membaiki laluan yang bertanya hos itu, dan itu bukan setiap peranti di LAN.

ip route add 10.80.0.0/24 via 192.168.70.10

Tembok api destinasi sendiri masih perlu membenarkan kolam klien sebagai sumber. Laluan membawa paket; ia tidak memberikan perkhidmatan.

Jika penghala LAN tidak boleh diubah, terjemahan sumber terhad pada VM ialah alternatifnya. Ia membuat balasan pulang tanpa laluan, dan ia menyembunyikan alamat klien individu daripada perkhidmatan LAN.

Ikuti satu paket dari awal hingga akhir

Klien pada 10.80.0.25 menghantar ke 192.168.70.40 melalui terowong. VM memajukan paket ke LAN. Perkhidmatan membalas ke penghalanya, yang memilih VM untuk kolam klien, dan VM memulangkan paket melalui OpenVPN. Setiap hop dalam ayat itu ialah tempat reka bentuk boleh gagal.

Uji dengan aplikasi sebenar daripada klien jauh, kemudian ulangi selepas memuat semula konfigurasi terurus pada VM dan pada penghala.

Jika klien mencapai VM tetapi tidak mencapai perkhidmatan, semak laluan penghala dahulu. Jika perkhidmatan menerima permintaan dan klien tidak pernah melihat balasan, laluan pulang itulah yang disyaki.