Gateway VPN do VirtualBox para a LAN: ponte, rota e retorno

Utilizadores remotos precisam de chegar a uma impressora e a um servidor de ficheiros numa LAN física, e a única máquina Linux sempre ligada é uma VM do VirtualBox. Ligar a VM a essa LAN em ponte é a primeira metade. A segunda metade é uma rota de retorno que cada dispositivo da LAN vai usar de facto, e é essa a parte que a maioria das configurações esquece. Quando falta, o túnel liga-se, o cliente faz ping ao gateway e nada mais responde.

Use endereços que possam ser alcançados

Coloque o adaptador LAN da VM no modo Bridged Adapter aprovado para essa rede e dê-lhe um endereço através do processo normal de atribuição. A VM passa então a aparecer na LAN física como qualquer outro host. A sua rota predefinida tem de continuar a usar o gateway real, para que o transporte cifrado até ao par VPN continue acessível. Não use o endereço NAT predefinido do VirtualBox como próximo salto da LAN, porque esse endereço vive atrás de um NAT virtual e não está on-link para o host nem para as outras máquinas da LAN.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Verifique a sobreposição com as redes domésticas dos utilizadores remotos antes de escolher o conjunto de endereços. A sobreposição transforma-se numa ambiguidade de encaminhamento que nenhuma configuração do servidor corrige.

Anuncie a LAN e depois encaminhe

Para um servidor cuja autenticação e transporte já são geridos, as linhas de rede são estas. O push diz ao cliente que aceita como chegar à LAN, e por si só não faz a VM encaminhar nada.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Ative o encaminhamento IPv4 na configuração de rede persistente da VM e permita que o conjunto de clientes chegue aos serviços LAN previstos no limite de encaminhamento da VM. A permissão para chegar ao ouvinte VPN é uma regra separada, e já funciona se o túnel subiu.

A rota de retorno pertence ao router da LAN

Os dispositivos da LAN respondem pelo seu gateway predefinido, que é o router da LAN em 192.168.70.1. Esse router não faz ideia de onde vive 10.80.0.0/24 a menos que lhe digam. Adicione a rota do conjunto à configuração persistente suportada do router, apontando para o endereço LAN da VM. Adicioná-la apenas no host do VirtualBox repara os caminhos que consultam esse host, e isso não é cada dispositivo da LAN.

ip route add 10.80.0.0/24 via 192.168.70.10

A firewall do destino ainda tem de permitir o conjunto de clientes como origem. Uma rota transporta o pacote; não concede o serviço.

Se o router da LAN não puder ser alterado, a tradução de origem limitada na VM é a alternativa. Faz as respostas voltarem sem a rota e esconde os endereços individuais dos clientes ao serviço da LAN.

Siga um pacote de ponta a ponta

Um cliente em 10.80.0.25 envia para 192.168.70.40 pelo túnel. A VM encaminha o pacote para a LAN. O serviço responde ao seu router, que escolhe a VM para o conjunto de clientes, e a VM devolve o pacote através do OpenVPN. Cada salto nessa frase é um sítio onde o desenho pode falhar.

Teste com a aplicação real a partir de um cliente remoto e repita depois de recarregar a configuração gerida tanto na VM como no router.

Se o cliente chega à VM mas não ao serviço, verifique primeiro a rota do router. Se o serviço recebe o pedido e o cliente nunca vê a resposta, o caminho de retorno é o suspeito.