Dijeljenje VPN sesije hosta s VMware gostom

Vaša virtualna mašina ne može doći do internog sistema koji savršeno radi na hostu, a host je povezan preko klijenta koji posjeduje tablicu usmjeravanja. Premošćivanje virtualnog adaptera na tunel izgleda očigledno i propada iz dva odvojena razloga. Radi prevođenje na segmentu koji oba računara posjeduju. Cijena je stvarna: svaki gost prestaje imati vlastiti identitet na korporativnoj mreži.

Dva razloga zašto most ne može raditi

Klijentov adapter obično nosi jednu adresu, često /32, a klijent prepisuje hostove rute tako da običan odlazni saobraćaj preferira tunel. Aplikacije na hostu slušaju tu tablicu i dolaze do privatnog sistema. Gost za mostom uopće ne čita tablicu, jer njegovi okviri izlaze kroz prekidač ispod IP sloja.

Stavljanje tunelskog adaptera u most riješilo bi put teoretski, a drajver to neće prihvatiti. Windows 10 takođe dozvoljava samo jedan mostni uređaj i uskraćuje ulogu usmjeravanja koja bi radnoj stanici omogućila prosljeđivanje između dvije podmreže. Ostaje prevođenje izvora. Učinite da gostov saobraćaj izgleda kao da dolazi s hosta, i odluke samog hosta nose ga u tunel bez potrebe da gost ima rutu koju ne može imati.

Napravite segment koji host posjeduje

U uređivaču virtualne mreže dodajte host-only mrežu poput VMnet3 na prefiksu koji nigdje drugdje ne usmjeravate, na primjer 172.28.90.0/24. Host uzima 172.28.90.1 na tom adapteru, a gost se priključuje na isti prekidač. Onemogućite hipervizorov DHCP na tom segmentu da njime upravlja jedna adresna usluga.

Potvrdite da Windows vidi interfejs prije nego što na njemu nešto izgradite, jer cijeli dizajn zavisi od toga da taj adapter bude običan:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

Host-only adapter se tamo pojavljuje kao i svaki fizički. Upravo je to razlika u odnosu na tunelski adapter, koji se ne može priključiti ni na šta.

Prevedite gostov prefiks

Otvorite sesiju s povišenim ovlaštenjima i prevedite prefiks. Prvo provjerite šta već postoji, jer kontejnerska okruženja i hipervizori instaliraju vlastita prevođenja, a brisanje pogrešnog kvari drugi proizvod.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Zatim konfigurirajte gosta sa statičkom adresom u tom prefiksu, 172.28.90.1 kao njegovim pristupnikom i adresama razrješivača koje tunel daje hostu. Prevođenje prosljeđuje pakete i ne uči gosta ništa o DNS-u, pa gost ostavljen na lokalnom rut eru razrješava javna imena i pada na svakom internom.

Provjerite prvi skok, pa cijenu

Testirajte najbližu granicu prije testiranja aplikacije. Trag koji se zaustavlja na hostovom pristupniku znači da se prevođenje ne događa, dok onaj koji se zaustavlja iza hosta znači da je tunel pao ili je druga strana odbila prevedenu adresu.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Uporedite s vlastitim hostovim pristupom istoj destinaciji dok je tunel aktivan. Ako host uspije, a gost ne, kvar je u prevođenju ili u gostovom podešavanju pristupnika, a ne u vezi.

Zatim prihvatite tu razmjenu. Korporativni sistemi sada vide jednu adresu za svakog gosta, pa certifikati uređaja i provjere stanja po uređaju ne mogu ih razlikovati, a neke politike to izričito zabranjuju. Odlučite i o ponašanju pri ispadanju, jer prevedeni saobraćaj može propasti na običnu internet putanju kad tunel padne, osim ako taj prefiks blokirate na hostovom firewallu.