Cum ajungi la un serviciu privat printr-un VPN într-o mașină virtuală

Tratează invitatul și Mac-ul ca două rețele separate unite printr-o singură ușă îngustă. Mașina virtuală își păstrează clientul VPN și propria cale spre internet; Mac-ul ajunge exact la un serviciu printr-un adaptor doar pentru gazdă și un singur port redirecționat. Nimic altceva nu trebuie să treacă. Urmează pașii în ordine și oprește-te când unul eșuează, fiindcă fiecare pas următor presupune că cei anteriori au rezistat.

Notează cele două căi înainte de a schimba ceva

Pe invitat, ipconfig /all afișează adaptorul care transportă VPN-ul și adresa primită de la DHCP-ul rețelei virtuale. Pe Mac, notează interfața virtuală creată de hipervizor pentru acel segment; la VMware Fusion dispozitivul doar pentru gazdă este de obicei vmnet1, iar Parallels îi dă propriul nume. Observă cine distribuie adrese acolo, apoi scrie totul, fiindcă subrețeaua doar pentru gazdă este adesea realocată când rețeaua virtuală este recreată. Verifică modul de rețea al mașinii virtuale în hipervizor, nu în memoria ta despre el. Modul partajat sau NAT pentru adaptorul orientat spre internet plus modul doar pentru gazdă pentru adaptorul orientat spre Mac este aranjamentul pe care îl presupun acești pași.

Două adaptoare, două scopuri. Amestecarea lor astfel încât un singur adaptor să servească și Mac-ul, și internetul este ceea ce transformă o ușă îngustă într-o cale rutată.

Confirmă mai întâi VPN-ul propriu al invitatului

Pornește clientul în interiorul Windows și confirmă că se termină, cu orice test documentat de furnizor. Nu merge mai departe până când invitatul singur nu ajunge la serviciul privat, fiindcă o problemă de redirecționare suprapusă peste un tunel rupt are două cauze și niciun mesaj de eroare util. Notează adresa privată în care se rezolvă serviciul din interiorul invitatului. Acea adresă este singurul lucru pe care regula de redirecționare trebuie să-l numească.

Dacă clientul împinge un tunel complet, adaptorul doar pentru gazdă transportă în continuare trafic local, dar verifică dacă destinația privată nu este capturată de tunel într-un mod care îi schimbă adresa. Un profil cu tunel divizat face acest lucru mai simplu și merită cerut de la cel care deține VPN-ul.

Adaugă ramura doar pentru gazdă și testeaz-o singură

Conectează la invitat un adaptor doar pentru gazdă, dă-i o adresă statică într-o subrețea pe care nimic altceva nu o folosește și confirmă că Mac-ul poate face ping către ea. Testează cu VPN-ul conectat și deconectat, fiindcă adresa trebuie să supraviețuiască amândurora. Un invitat care răspunde doar cât timp tunelul îi este ridicat are o problemă de rutare pe care încă nu ai găsit-o.

Windows poate clasifica noul adaptor ca rețea publică, ceea ce blochează implicit traficul de intrare. Setează profilul înainte de a depana orice altceva.

Redirecționează un port, nu subrețeaua

Preferă un singur port redirecționat în locul redirecționării IP generale. Windows oferă netsh interface portproxy, care redirecționează un port în ascultare către o gazdă și un port de destinație, și are nevoie ca serviciul IP Helper să ruleze.

Setează întotdeauna listenaddress la adresa doar pentru gazdă. Dacă îl omiți, se leagă toate interfețele, ceea ce expune serviciul oricărei rețele pe care se află mașina virtuală. Adaugă o regulă de firewall limitată la interfața doar pentru gazdă și la acel singur port, ca ascultătorul și permisiunea să coincidă. O aplicație conștientă de proxy poate prefera în schimb un proxy mic în interiorul invitatului, care încheie conexiunea și nu are nevoie de o rută de întoarcere spre Mac. Alege proxy-ul când protocolul permite, fiindcă eșuează închis prin construcție.

Verifică, apoi scrie revenirea

De pe Mac, rezolvă numele privat, execută operațiunea dorită, apoi oprește VPN-ul invitatului și confirmă că operațiunea eșuează în loc să revină în tăcere. Tocmai acea ultimă verificare dovedește că calea este cea pe care ai construit-o. Notează ce identitate vede poarta de acces și cine are voie să folosească redirecționarea.

Scrie revenirea în trei pași: elimină intrarea portproxy, elimină regula de firewall, deconectează adaptorul doar pentru gazdă. Apoi rulează-o o dată, înainte de a avea nevoie de ea, și confirmă că VPN-ul propriu al invitatului încă funcționează după. Dacă organizația ta cere ca fiecare Mac să se înregistreze independent, oprește-te aici și folosește acel model în schimb, fiindcă un punct comun de redirecționare concentrează accesul pe un singur invitat. În orice caz, pune adresele și portul în registrul de modificări; următoarea persoană nu va vrea să le redescopere.