Como chegar a um serviço privado através de uma VPN numa máquina virtual

Trate o convidado e o Mac como duas redes separadas unidas por uma única porta estreita. A máquina virtual mantém o seu cliente VPN e o seu próprio caminho para a internet; o Mac chega exatamente a um serviço através de um adaptador só para o anfitrião e de uma única porta encaminhada. Nada mais deve atravessar. Siga os passos pela ordem e pare quando um falhar, porque cada passo seguinte assume que os anteriores se mantiveram.

Anote os dois caminhos antes de mudar qualquer coisa

No convidado, ipconfig /all mostra o adaptador que transporta a VPN e o endereço que recebeu do DHCP da rede virtual. No Mac, anote a interface virtual que o hipervisor criou para esse segmento; com o VMware Fusion o dispositivo só para o anfitrião é normalmente vmnet1, e o Parallels dá ao seu um nome próprio. Repare em quem distribui endereços ali e depois escreva tudo, porque a sub-rede só para o anfitrião é frequentemente reatribuída quando uma rede virtual é recriada. Verifique o modo de rede da máquina virtual no hipervisor, não na sua memória dele. O modo partilhado ou NAT para o adaptador virado para a internet mais o modo só para o anfitrião para o adaptador virado para o Mac é a disposição que estes passos assumem.

Dois adaptadores, dois propósitos. Misturá-los de forma que um só adaptador sirva tanto o Mac como a internet é o que transforma uma porta estreita num caminho encaminhado.

Confirme primeiro a VPN própria do convidado

Inicie o cliente dentro do Windows e confirme que termina, com qualquer teste que o fornecedor documente. Não avance até o convidado sozinho chegar ao serviço privado, porque um problema de encaminhamento sobreposto a um túnel quebrado tem duas causas e nenhuma mensagem de erro útil. Anote o endereço privado para o qual o serviço resolve a partir de dentro do convidado. É esse endereço a única coisa que a regra de encaminhamento deve nomear.

Se o cliente empurrar um túnel completo, o adaptador só para o anfitrião continua a transportar tráfego local, mas verifique que o destino privado não é capturado pelo túnel de forma a mudar o seu endereço. Um perfil de túnel dividido torna isto mais simples e vale a pena pedi-lo a quem possui a VPN.

Adicione a perna só para o anfitrião e teste-a sozinha

Ligue um adaptador só para o anfitrião ao convidado, dê-lhe um endereço estático numa sub-rede que nada mais use e confirme que o Mac lhe consegue fazer ping. Teste com a VPN ligada e desligada, porque o endereço tem de sobreviver às duas. Um convidado que só responde enquanto o seu túnel está de pé tem um problema de encaminhamento que ainda não encontrou.

O Windows pode classificar o novo adaptador como rede pública, o que bloqueia o tráfego de entrada por predefinição. Defina o perfil antes de depurar qualquer outra coisa.

Encaminhe uma porta, não a sub-rede

Prefira uma única porta encaminhada ao encaminhamento IP geral. O Windows inclui netsh interface portproxy, que encaminha uma porta à escuta para um anfitrião e porta de destino, e precisa do serviço IP Helper em execução.

Defina sempre listenaddress para o endereço só para o anfitrião. Omiti-lo liga todas as interfaces, o que expõe o serviço a qualquer rede onde a máquina virtual esteja. Acrescente uma regra de firewall limitada à interface só para o anfitrião e a essa única porta, para que o ouvinte e a permissão coincidam. Uma aplicação que entende de proxy pode preferir um pequeno proxy dentro do convidado, que termina a ligação e não precisa de rota de retorno para o Mac. Escolha o proxy quando o protocolo o permitir, porque falha fechado por construção.

Verifique e depois escreva a reversão

A partir do Mac, resolva o nome privado, execute a operação pretendida e depois pare a VPN do convidado e confirme que a operação falha em vez de recuar em silêncio. É essa última verificação que prova que o caminho é o que você construiu. Anote que identidade a gateway vê e quem pode usar o encaminhamento.

Escreva a reversão em três passos: remova a entrada portproxy, remova a regra de firewall, desligue o adaptador só para o anfitrião. Depois execute-a uma vez, antes de precisar dela, e confirme que a VPN própria do convidado continua a funcionar. Se a sua organização exigir que cada Mac se registe de forma independente, pare aqui e use esse modelo, porque um ponto de encaminhamento partilhado concentra o acesso num só convidado. De qualquer forma, coloque os endereços e a porta no registo de alterações; a próxima pessoa não vai querer redescobri-los.