Zo bereikt u een privédienst via een VPN in een virtuele machine

Behandel de gast en de Mac als twee afzonderlijke netwerken die door één smalle deur verbonden zijn. De virtuele machine houdt zijn VPN-client en zijn eigen internetpad; de Mac bereikt precies één dienst via een adapter alleen voor de host en één enkele doorgestuurde poort. Niets anders mag oversteken. Volg de stappen in volgorde en stop wanneer er één mislukt, want elke latere stap veronderstelt dat de eerdere standhielden.

Noteer de twee paden voordat u iets wijzigt

Op de gast toont ipconfig /all de adapter die het VPN-verkeer draagt en het adres dat hij van de DHCP van het virtuele netwerk kreeg. Noteer op de Mac de virtuele interface die de hypervisor voor dat segment aanmaakte; bij VMware Fusion is het apparaat alleen voor de host meestal vmnet1, en Parallels geeft het zijne een eigen naam. Let op wie daar adressen uitgeeft en schrijf alles op, want het subnet alleen voor de host wordt vaak opnieuw toegewezen wanneer een virtueel netwerk opnieuw wordt aangemaakt. Controleer de netwerkmodus van de virtuele machine in de hypervisor in plaats van in uw herinnering eraan. Gedeelde of NAT-modus voor de adapter richting internet plus modus alleen voor de host voor de adapter richting de Mac is de opstelling die deze stappen veronderstellen.

Twee adapters, twee doelen. Ze zo mengen dat één adapter zowel de Mac als internet bedient, is wat een smalle deur in een gerouteerd pad verandert.

Bevestig eerst de eigen VPN van de gast

Start de client binnen Windows en bevestig dat hij eindigt, met welke test de leverancier ook documenteert. Ga niet verder voordat de gast alleen de privédienst bereikt, want een doorgifteprobleem bovenop een kapotte tunnel heeft twee oorzaken en geen bruikbare foutmelding. Noteer het privéadres waarop de dienst vanuit de gast wordt omgezet. Dat adres is het enige dat de doorgifteregel hoort te noemen.

Als de client een volledige tunnel duwt, draagt de adapter alleen voor de host nog steeds lokaal verkeer, maar controleer dat de privébestemming niet zo door de tunnel wordt gevangen dat haar adres verandert. Een profiel met gesplitste tunnel maakt dit eenvoudiger en is het waard om te vragen aan wie de VPN bezit.

Voeg het been alleen voor de host toe en test het apart

Sluit een adapter alleen voor de host aan op de gast, geef die een statisch adres in een subnet dat niets anders gebruikt, en bevestig dat de Mac hem kan pingen. Test met de VPN verbonden en verbroken, want het adres moet beide overleven. Een gast die alleen antwoordt zolang zijn tunnel omhoog staat heeft een routeringsprobleem dat u nog niet hebt gevonden.

Windows kan de nieuwe adapter als openbaar netwerk classificeren, wat inkomend verkeer standaard blokkeert. Stel het profiel in voordat u iets anders debugt.

Stuur één poort door, niet het subnet

Geef de voorkeur aan één doorgestuurde poort boven algemene IP-doorgifte. Windows levert netsh interface portproxy, dat een luisterende poort doorstuurt naar een doelhoest en -poort, en het vereist dat de dienst IP Helper draait.

Stel listenaddress altijd in op het adres alleen voor de host. Laat u het weg, dan worden alle interfaces gebonden, wat de dienst blootstelt aan welk netwerk de virtuele machine ook zit. Voeg een firewallregel toe die beperkt is tot de interface alleen voor de host en die ene poort, zodat de luisteraar en de toestemming overeenkomen. Een proxybewuste toepassing wil misschien liever een kleine proxy in de gast, die de verbinding beëindigt en geen retourroute naar de Mac nodig heeft. Kies de proxy wanneer het protocol het toelaat, want hij faalt gesloten door zijn opbouw.

Verifieer en schrijf dan de terugdraai

Zet vanaf de Mac de privénaam om, voer de bedoelde bewerking uit, stop dan de VPN van de gast en bevestig dat de bewerking mislukt in plaats van stil terug te vallen. Juist die laatste controle bewijst dat het pad het pad is dat u hebt gebouwd. Noteer welke identiteit de gateway ziet en wie de doorgifte mag gebruiken.

Schrijf de terugdraai als drie stappen: verwijder de portproxy-regel, verwijder de firewallregel, koppel de adapter alleen voor de host los. Voer hem dan één keer uit, voordat u hem nodig hebt, en bevestig dat de eigen VPN van de gast daarna nog werkt. Als uw organisatie eist dat elke Mac zich zelfstandig registreert, stop hier en gebruik in plaats daarvan dat model, want een gedeeld doorgiftepunt concentreert toegang op één gast. Hoe dan ook, zet de adressen en de poort in het wijzigingsregister; de volgende persoon wil ze niet opnieuw ontdekken.