VirtualBox VPN-port for LAN: bru, rute, retur

Fjernbrukarar må nå ein skrivar og ein filtenar på eit fysisk LAN, og den einaste Linux-boksen som alltid står på, er ein VirtualBox-VM. Å bru VM-en inn på det LAN-et er fyrste halvdel. Andre halvdel er ei returrute som kvar eining på LAN-et faktisk vil bruke, og det er den delen dei fleste oppsetta gløymer. Når ho manglar, koplar tunnelen seg opp, klienten pingar porten, og ingenting anna svarar.

Bruk adresser som kan nåast

Set LAN-adapteren til VM-en i Bridged Adapter-modus godkjend for nettverket, og gje han ei adresse gjennom den vanlege tildelingsprosessen. Då viser VM-en seg på det fysiske LAN-et som kvar annan vert. Standardruta må framleis bruke den ekte porten, slik at den krypterte transporten til VPN-peer-en blir verande tilgjengeleg. Ikkje bruk standard NAT-adressa til VirtualBox som neste hopp for LAN-et, fordi den adressa ligg bak ein virtuell NAT og er ikkje on-link for verten eller andre maskiner på LAN-et.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Sjekk for overlapp med heimenettverka til fjernbrukarane før du vel adressepoolen. Overlapp blir ein rutingsuklarheit som ingen tenarkonfigurasjon rettar opp.

Annonser LAN-et, og videresend deretter

For ein tenar der autentisering og transport allereie blir administrert, ser nettverkslinjene slik ut. Push-en fortel ein klient som godtek korleis han når LAN-et, og han får ikkje VM-en til å videresende noko av seg sjølv.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Slå på IPv4-videresending i den varige nettverkskonfigurasjonen til VM-en, og la klientpoolen nå dei tiltenkte LAN-tenestene ved videresendingsgrensa til VM-en. Løyve til å nå VPN-lyttaren er ei eiga regel, og ho verkar allereie om tunnelen kom opp.

Returruta høyrer heime på LAN-rutaren

Einingar på LAN-et svarar via standardporten sin, som er LAN-rutaren på 192.168.70.1. Den rutaren veit ikkje kvar 10.80.0.0/24 ligg med mindre han får beskjed. Legg poolruta til i den støtta varige konfigurasjonen til rutaren, retta mot LAN-adressa til VM-en. Å leggje ho til berre på VirtualBox-verten reparerer stiar som spør den verten, og det er ikkje kvar eining på LAN-et.

ip route add 10.80.0.0/24 via 192.168.70.10

Brannmuren til målet må framleis tillate klientpoolen som kjelde. Ei rute ber pakken; ho gjev ikkje tenesta.

Om LAN-rutaren ikkje kan endrast, er avgrensa kjeldeomsetjing på VM-en alternativet. Det får svar til å kome tilbake utan ruta, og det skjuler dei enkelte klientadressene for LAN-tenesta.

Følg éin pakke frå ende til annan

Ein klient på 10.80.0.25 sender til 192.168.70.40 gjennom tunnelen. VM-en videresender pakken til LAN-et. Tenesta svarar rutaren sin, som vel VM-en for klientpoolen, og VM-en returnerer pakken gjennom OpenVPN. Kvart hopp i den setninga er ein stad der designet kan svikte.

Test med den ekte applikasjonen frå ein fjernklient, og gjenta etter at du har lasta inn den administrerte konfigurasjonen på nytt både på VM-en og på rutaren.

Om klienten når VM-en men ikkje tenesta, sjekk ruta til rutaren fyrst. Om tenesta mottek førespurnaden og klienten aldri ser svaret, er returvegen den mistenkte.