Jak dotrzeć do prywatnej usługi przez VPN w maszynie wirtualnej

Traktuj gościa i Maca jako dwie osobne sieci połączone jednymi wąskimi drzwiami. Maszyna wirtualna zachowuje swojego klienta VPN i własną drogę do internetu; Mac dociera dokładnie do jednej usługi przez adapter tylko dla hosta i jeden przekazany port. Nic innego nie powinno przechodzić. Wykonuj kroki po kolei i zatrzymaj się, gdy któryś zawiedzie, bo każdy późniejszy krok zakłada, że wcześniejsze się utrzymały.

Zapisz obie ścieżki, zanim cokolwiek zmienisz

Na gościu ipconfig /all pokazuje adapter, który niesie transport VPN, oraz adres otrzymany z DHCP sieci wirtualnej. Na Macu zapisz interfejs wirtualny, który hiperwizor utworzył dla tego segmentu; w VMware Fusion urządzenie tylko dla hosta to zwykle vmnet1, a Parallels nadaje własną nazwę. Zwróć uwagę, kto tam przydziela adresy, a potem zapisz wszystko, bo podsieć tylko dla hosta jest często przydzielana od nowa, gdy sieć wirtualna powstaje ponownie. Sprawdzaj tryb sieci maszyny wirtualnej w hiperwizorze, a nie w swojej pamięci o nim. Tryb współdzielony lub NAT dla adaptera skierowanego do internetu plus tryb tylko dla hosta dla adaptera skierowanego do Maca to układ, który zakładają te kroki.

Dwa adaptery, dwa cele. Mieszanie ich tak, by jeden adapter obsługiwał i Maca, i internet, jest tym, co zamienia wąskie drzwi w trasę routowaną.

Najpierw potwierdź własny VPN gościa

Uruchom klienta wewnątrz Windows i potwierdź, że kończy pracę, dowolnym testem, który dokumentuje dostawca. Nie przechodź dalej, dopóki gość sam nie dotrze do prywatnej usługi, bo problem przekazywania nałożony na zepsuty tunel ma dwie przyczyny i żadnego użytecznego komunikatu o błędzie. Zapisz prywatny adres, na który usługa się rozwiązuje z wnętrza gościa. Właśnie ten adres powinna wskazywać reguła przekazywania.

Jeśli klient przepycha pełny tunel, adapter tylko dla hosta nadal niesie ruch lokalny, ale sprawdź, czy prywatne miejsce docelowe nie jest przechwytywane przez tunel w sposób, który zmienia jego adres. Profil z dzielonym tunelem to ułatwia i warto o niego poprosić właściciela VPN.

Dodaj odnogę tylko dla hosta i przetestuj ją osobno

Podłącz do gościa adapter tylko dla hosta, daj mu statyczny adres w podsieci, której nic innego nie używa, i potwierdź, że Mac może go pingować. Testuj z podłączonym i odłączonym VPN, bo adres musi przetrwać oba. Gość, który odpowiada tylko dopóki jego tunel jest podniesiony, ma problem z routingiem, którego jeszcze nie znalazłeś.

Windows może zaklasyfikować nowy adapter jako sieć publiczną, co domyślnie blokuje ruch przychodzący. Ustaw profil, zanim zaczniesz debugować cokolwiek innego.

Przekaż jeden port, nie podsieć

Preferuj jeden przekazany port zamiast ogólnego przekazywania IP. Windows dostarcza netsh interface portproxy, który przekazuje port nasłuchujący do hosta i portu docelowego, i wymaga działającej usługi IP Helper.

Zawsze ustawiaj listenaddress na adres tylko dla hosta. Pominięcie go wiąże wszystkie interfejsy, co wystawia usługę na dowolną sieć, w której akurat jest maszyna wirtualna. Dodaj regułę zapory ograniczoną do interfejsu tylko dla hosta i tego jednego portu, aby nasłuchujący i pozwolenie się zgadzały. Aplikacja świadoma proxy może zamiast tego chcieć małego proxy w gościu, które kończy połączenie i nie potrzebuje trasy powrotnej do Maca. Wybierz proxy, gdy protokół na to pozwala, bo zawodzi w stanie zamkniętym z samej konstrukcji.

Zweryfikuj, a potem zapisz wycofanie

Z Maca rozwiąż prywatną nazwę, wykonaj zamierzoną operację, a następnie zatrzymaj VPN gościa i potwierdź, że operacja zawodzi, zamiast cicho wracać. Właśnie ta ostatnia kontrola dowodzi, że ścieżka jest tą, którą zbudowałeś. Zapisz, jaką tożsamość widzi brama i kto może korzystać z przekazywania.

Zapisz wycofanie w trzech krokach: usuń wpis portproxy, usuń regułę zapory, odłącz adapter tylko dla hosta. Potem wykonaj je raz, zanim będzie potrzebne, i potwierdź, że własny VPN gościa nadal działa. Jeśli twoja organizacja wymaga, by każdy Mac rejestrował się niezależnie, zatrzymaj się tutaj i użyj zamiast tego tego modelu, bo współdzielony punkt przekazywania koncentruje dostęp na jednym gościu. Tak czy inaczej, umieść adresy i port w rejestrze zmian; następna osoba nie będzie chciała ich odkrywać od nowa.