Ako sa dostať k súkromnej službe cez VPN vo virtuálnom počítači

Berte hosťa a Mac ako dve oddelené siete spojené jedinými úzkymi dverami. Virtuálny počítač si drží svojho klienta VPN aj vlastnú cestu na internet; Mac dosiahne presne jednu službu cez adaptér len pre hostiteľa a jediný presmerovaný port. Nič iné nesmie prejsť. Postupujte podľa krokov v poradí a zastavte sa, keď niektorý zlyhá, pretože každý ďalší krok predpokladá, že predchádzajúce vydržali.

Zapíšte obe cesty skôr, než čokoľvek zmeníte

Na hosťovi ipconfig /all vypíše adaptér, ktorý nesie transport VPN, a adresu, ktorú dostal od DHCP virtuálnej siete. Na Macu si zapíšte virtuálne rozhranie, ktoré pre tento segment vytvoril hypervizor; pri VMware Fusion býva zariadenie len pre hostiteľa zvyčajne vmnet1 a Parallels dáva svojmu vlastné meno. Všimnite si, kto tam prideľuje adresy, a potom všetko zapíšte, pretože podsiete len pre hostiteľa sa často prideľujú nanovo, keď sa virtuálna sieť vytvára odznova. Režim siete virtuálneho počítača kontrolujte v hypervizore, nie vo svojej pamäti naň. Zdieľaný režim alebo režim NAT pre adaptér obrátený k internetu plus režim len pre hostiteľa pre adaptér obrátený k Macu je usporiadanie, ktoré tieto kroky predpokladajú.

Dva adaptéry, dva účely. Zmiešať ich tak, aby jeden adaptér slúžil aj Macu, aj internetu, je to, čo z úzkych dverí robí routovanú cestu.

Najprv potvrďte vlastnú VPN hosťa

Spustite klienta vo vnútri Windows a potvrďte, že skončí, akýmkoľvek testom, ktorý dodávateľ dokumentuje. Nepostupujte ďalej, kým sa hosť sám nedostane k súkromnej službe, pretože problém presmerovania navrstvený na pokazený tunel má dve príčiny a žiadnu užitočnú chybovú správu. Zapíšte súkromnú adresu, na ktorú sa služba zvnútra hosťa prekladá. Práve túto adresu má pravidlo presmerovania uviesť.

Ak klient pretláča plný tunel, adaptér len pre hostiteľa stále nesie miestnu prevádzku, ale overte, že súkromné cieľové miesto nie je tunelom zachytené tak, že sa zmení jeho adresa. Profil s rozdeleným tunelom to zjednodušuje a stojí za to oň požiadať toho, kto VPN vlastní.

Pridajte vetvu len pre hostiteľa a otestujte ju samu

Pripojte k hosťovi adaptér len pre hostiteľa, dajte mu statickú adresu v podsieti, ktorú nič iné nepoužíva, a potvrďte, že naň Mac vie pingovať. Testujte s pripojenou aj odpojenou VPN, pretože adresa musí vydržať oboje. Hosť, ktorý odpovedá len dovtedy, kým je jeho tunel hore, má problém s routovaním, ktorý ste ešte nenašli.

Windows môže nový adaptér zaradiť ako verejnú sieť, čo v predvolenom nastavení blokuje prichádzajúcu prevádzku. Nastavte profil, skôr než začnete ladiť čokoľvek iné.

Presmerujte jeden port, nie podsieť

Uprednostnite jediný presmerovaný port pred všeobecným presmerovaním IP. Windows dodáva netsh interface portproxy, ktorý presmeruje počúvajúci port na cieľového hostiteľa a port, a vyžaduje bežiacu službu IP Helper.

Vždy nastavte listenaddress na adresu len pre hostiteľa. Ak ho vynecháte, zviažu sa všetky rozhrania, čo vystaví službu ktorejkoľvek sieti, na ktorej virtuálny počítač práve je. Pridajte pravidlo firewallu obmedzené na rozhranie len pre hostiteľa a ten jediný port, aby si poslucháč a povolenie zodpovedali. Aplikácia, ktorá rozumie proxy, môže namiesto toho chcieť malú proxy vnútri hosťa, ktorá ukončí spojenie a nepotrebuje spätnú trasu k Macu. Vyberte proxy, keď to protokol dovoľuje, pretože zlyháva zatvorene už svojou konštrukciou.

Overte a potom zapíšte vrátenie

Z Macu preložte súkromné meno, vykonajte zamýšľanú operáciu, potom zastavte VPN hosťa a potvrďte, že operácia zlyhá, namiesto toho aby ticho spadla späť. Práve tá posledná kontrola dokazuje, že cesta je tá, ktorú ste postavili. Zapíšte, akú identitu vidí brána a kto smie presmerovanie používať.

Zapíšte vrátenie v troch krokoch: odstráňte záznam portproxy, odstráňte pravidlo firewallu, odpojte adaptér len pre hostiteľa. Potom ho raz spustite, skôr než ho budete potrebovať, a potvrďte, že vlastná VPN hosťa po tom stále funguje. Ak vaša organizácia vyžaduje, aby sa každý Mac registroval samostatne, zastavte sa tu a použite namiesto toho ten model, pretože spoločný bod presmerovania sústreďuje prístup na jedného hosťa. Tak či tak, dajte adresy a port do záznamu o zmenách; ďalší človek ich nebude chcieť znova objavovať.