Brama VPN VirtualBox dla sieci LAN: most, trasa, powrót

Zdalni użytkownicy muszą dotrzeć do drukarki i serwera plików w fizycznej sieci LAN, a jedynym stale włączonym komputerem z Linuksem jest maszyna wirtualna VirtualBox. Podłączenie tej maszyny do sieci LAN przez most to pierwsza połowa. Druga połowa to trasa powrotna, której każde urządzenie w sieci LAN naprawdę użyje, i właśnie tę część konfiguracje pomijają. Gdy jej brak, tunel się łączy, klient pinguje bramę i nic więcej nie odpowiada.

Używaj adresów, do których można dotrzeć

Ustaw kartę sieciową LAN maszyny wirtualnej na tryb Bridged Adapter zatwierdzony dla tej sieci i nadaj jej adres w zwykłym procesie przydzielania. Wtedy maszyna pojawia się w fizycznej sieci LAN jak każdy inny host. Jej trasa domyślna musi nadal używać prawdziwej bramy, aby szyfrowany transport do partnera VPN pozostał osiągalny. Nie używaj domyślnego adresu NAT VirtualBox jako następnego skoku dla sieci LAN, ponieważ ten adres znajduje się za wirtualnym NAT i nie jest on-link dla hosta ani innych maszyn w sieci LAN.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Przed wyborem puli adresów sprawdź nakładanie się z sieciami domowymi zdalnych użytkowników. Nakładanie zamienia się w niejednoznaczność routingu, której nie naprawi żadna konfiguracja serwera.

Ogłoś sieć LAN, a potem przekazuj

Dla serwera, którego uwierzytelnianie i transport są już zarządzane, wiersze sieciowe wyglądają tak. Push mówi akceptującemu klientowi, jak dotrzeć do sieci LAN, i sam z siebie nie powoduje, że maszyna cokolwiek przekazuje.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Włącz przekazywanie IPv4 w trwałej konfiguracji sieciowej maszyny i pozwól puli klientów dotrzeć do zamierzonych usług LAN na granicy przekazywania maszyny. Zgoda na dostęp do nasłuchu VPN to osobna reguła i działa już, jeśli tunel się podniósł.

Trasa powrotna należy do routera w sieci LAN

Urządzenia w sieci LAN odpowiadają przez swoją bramę domyślną, czyli router LAN pod 192.168.70.1. Ten router nie ma pojęcia, gdzie znajduje się 10.80.0.0/24, jeśli mu się nie powie. Dodaj trasę puli do obsługiwanej trwałej konfiguracji routera, kierując ją na adres LAN maszyny. Dodanie jej tylko na hoście VirtualBox naprawia ścieżki, które pytają ten host, a to nie jest każde urządzenie w sieci LAN.

ip route add 10.80.0.0/24 via 192.168.70.10

Zapora celu nadal musi zezwalać puli klientów jako źródłu. Trasa niesie pakiet; nie daje usługi.

Jeśli routera LAN nie można zmienić, alternatywą jest ograniczone tłumaczenie źródła na maszynie. Dzięki temu odpowiedzi wracają bez trasy, a pojedyncze adresy klientów są ukryte przed usługą LAN.

Śledź jeden pakiet od początku do końca

Klient pod 10.80.0.25 wysyła do 192.168.70.40 przez tunel. Maszyna przekazuje pakiet do sieci LAN. Usługa odpowiada swojemu routerowi, który wybiera maszynę dla puli klientów, a maszyna zwraca pakiet przez OpenVPN. Każdy skok w tym zdaniu to miejsce, w którym projekt może zawieść.

Przetestuj prawdziwą aplikacją ze zdalnego klienta, a potem powtórz po ponownym wczytaniu zarządzanej konfiguracji zarówno na maszynie, jak i na routerze.

Jeśli klient dociera do maszyny, ale nie do usługi, najpierw sprawdź trasę routera. Jeśli usługa otrzymuje żądanie, a klient nigdy nie widzi odpowiedzi, podejrzana jest trasa powrotna.