Slik når du en privat tjeneste gjennom en VPN på en virtuell maskin

Behandle gjesten og Macen som to atskilte nettverk forbundet av én smal dør. Den virtuelle maskinen beholder VPN-klienten og sin egen vei til internett; Macen når nøyaktig én tjeneste gjennom en adapter kun for verten og én enkelt videresendt port. Ingenting annet skal passere. Følg trinnene i rekkefølge, og stopp når ett feiler, fordi hvert senere trinn forutsetter at de tidligere holdt.

Skriv ned de to veiene før du endrer noe

På gjesten viser ipconfig /all adapteren som bærer VPN-transporten, og adressen den fikk fra DHCP i det virtuelle nettverket. På Macen skriver du ned det virtuelle grensesnittet hypervisoren opprettet for det segmentet; med VMware Fusion er enheten kun for verten vanligvis vmnet1, og Parallels gir sin eget navn. Legg merke til hvem som deler ut adresser der, og skriv så ned alt, fordi subnettet kun for verten ofte tildeles på nytt når et virtuelt nettverk gjenopprettes. Kontroller den virtuelle maskinens nettverksmodus i hypervisoren i stedet for i minnet ditt om den. Delt eller NAT-modus for adapteren som vender mot internett pluss modus kun for verten for adapteren som vender mot Macen er oppsettet disse trinnene forutsetter.

To adaptere, to formål. Å blande dem slik at én adapter betjener både Macen og internett, er det som gjør en smal dør til en rutet vei.

Bekreft først gjestens egen VPN

Start klienten inne i Windows og bekreft at den avsluttes, med hvilken som helst test leverandøren dokumenterer. Ikke gå videre før gjesten alene når den private tjenesten, fordi et videresendingsproblem oppå en brutt tunnel har to årsaker og ingen nyttig feilmelding. Skriv ned den private adressen tjenesten løses til inne fra gjesten. Den adressen er det eneste videresendingsregelen skal navngi.

Hvis klienten skyver en full tunnel, bærer adapteren kun for verten fortsatt lokal trafikk, men bekreft at den private destinasjonen ikke fanges av tunnelen på en måte som endrer adressen. En profil med delt tunnel gjør dette enklere og er verdt å be om hos den som eier VPN-en.

Legg til beinet kun for verten og test det alene

Koble en adapter kun for verten til gjesten, gi den en statisk adresse på et subnett ingen andre bruker, og bekreft at Macen kan pinge den. Test med VPN tilkoblet og frakoblet, fordi adressen må overleve begge. En gjest som bare svarer mens tunnelen er oppe har et ruteproblem du ennå ikke har funnet.

Windows kan klassifisere den nye adapteren som et offentlig nettverk, noe som blokkerer innkommende trafikk som standard. Sett profilen før du feilsøker noe annet.

Videresend én port, ikke subnettet

Foretrekk én videresendt port fremfor generell IP-videresending. Windows leverer netsh interface portproxy, som videresender en lyttende port til en destinasjonsvert og -port, og det trenger at tjenesten IP Helper kjører.

Sett alltid listenaddress til adressen kun for verten. Utelater du det, bindes alle grensesnitt, noe som eksponerer tjenesten for hvilket nettverk den virtuelle maskinen enn ligger på. Legg til en brannmurregel begrenset til grensesnittet kun for verten og den ene porten, slik at lytteren og tillatelsen stemmer. Et proxybevisst program vil kanskje heller ha en liten proxy inne i gjesten, som avslutter forbindelsen og ikke trenger noen returvei til Macen. Velg proxyen når protokollen tillater det, fordi den feiler lukket av konstruksjon.

Bekreft, og skriv deretter tilbakerullingen

Fra Macen løser du det private navnet, kjører den tiltenkte operasjonen, og stopper deretter gjestens VPN og bekrefter at operasjonen feiler i stedet for å falle stille tilbake. Nettopp den siste kontrollen beviser at veien er den du bygde. Skriv ned hvilken identitet gatewayen ser og hvem som får bruke videresendingen.

Skriv tilbakerullingen som tre trinn: fjern portproxy-oppføringen, fjern brannmurregelen, koble fra adapteren kun for verten. Kjør den så én gang, før du får bruk for den, og bekreft at gjestens egen VPN fortsatt virker etterpå. Hvis organisasjonen din krever at hver Mac registrerer seg selvstendig, stopp her og bruk den modellen i stedet, fordi et delt videresendingspunkt konsentrerer tilgangen på én gjest. Uansett, sett adressene og porten i endringsloggen; den neste personen vil ikke gjenoppdage dem.