Dele ei VPN-økt frå verten med ein VMware-gjest

Den virtuelle maskina di når ikkje eit internt system som fungerer perfekt på verten, og verten er kopla til gjennom ein klient som eig rutetabellen. Bru den virtuelle adapteren til verten mot tunnelen verkar opplagt og feilar av to separate grunnar. Det som verkar, er omsetjing på eit segment begge maskinene eig. Prisen er reell: kvar gjest sluttar å ha si eiga identitet på bedriftsnettet.

To grunnar til at brua ikkje kan verke

Adapteren til klienten har vanlegvis éin adresse, ofte ein /32, og klienten skriv om rutene til verten slik at vanleg utgåande trafikk føretrekkjer tunnelen. Program på verten lyder tabellen og når det private systemet. Ein brua gjest les aldri tabellen, fordi rammene hans går ut gjennom ein svitsj under IP-laget.

Å setje tunneladapteren inn i ei bru ville løyse vegen i teorien, og drivaren godtek det ikkje. Windows 10 tillèt òg berre éi brueining og held tilbake ruterolla som ville late ein arbeidsstasjon senda vidare mellom to subnett. Det som står att, er kjeldeomsetjing. Få trafikken til gjesten til å sjå ut som han kjem frå verten, og avgjerdene til verten sjølv ber han inn i tunnelen utan at gjesten treng ei rute han ikkje kan ha.

Lag eit segment verten eig

I editoren for virtuelt nettverk legg du til eit host-only nettverk som VMnet3 på eit prefiks du ikkje rutar nokon annan stad, til dømes 172.28.90.0/24. Verten tek 172.28.90.1 på den adapteren, og gjesten blir kopla til same svitsj. Slå av hypervisor-DHCP på det segmentet slik at éin adresseteneste eig det.

Stadfest at Windows ser grensesnittet før du byggjer noko oppå det, fordi heile designet er avhengig av at adapteren er vanleg:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

Ein host-only-adapter blir vist der som ein kvar fysisk. Det er nettopp skilnaden frå tunneladapteren, som ikkje kan koplast til noko.

Set om prefikset til gjesten

Opne ei økt med forhøgde rettar og set om prefikset. Sjekk først kva som alt finst, fordi container-runtime og hypervisorar installerer sine eigne omsetjingar, og å sletta feil øydelegg eit anna produkt.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Set så opp gjesten med ei statisk adresse i det prefikset, 172.28.90.1 som gateway og resolveradressene tunnelen gjev verten. Omsetjing vidaresender pakkar og lærer gjesten ingenting om DNS, så ein gjest som blir ståande på den lokale rutaren løyser opp offentlege namn og feilar på kvart internt.

Sjekk første hopp, deretter prisen

Test den næraste grensa før du testar eit program. Eit spor som stoppar ved gatewayen til verten, tyder at omsetjing ikkje skjer, medan eit som stoppar utanfor verten tyder at tunnelen er nede eller at den fjerne sida avviste den omsette adressa.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Samanlikn med den eigen tilgangen til verten til same mål medan tunnelen er oppe. Viss verten lykkast og gjesten ikkje, ligg feilen i omsetjinga eller i gateway-innstillinga til gjesten, ikkje i sambandet.

Godta så bytet. Bedriftssystem ser no éi adresse for kvar gjest, så einingarsertifikat og tilstandskontrollar per eining kan ikkje skilje dei, og nokre retningslinjer forbyr det heilt. Bestem òg dropåtferda, sidan omsett trafikk kan falle gjennom til den vanlege internettvegen når tunnelen sviktar, med mindre du blokkerer det prefikset i brannmuren til verten.