Zdieľanie VPN relácie hostiteľa s hosťom VMware

Tunelový adaptér nevstúpi do mosta a Windows 10 nesmeruje medzi podsieťami. Host-only segment s NAT nesie hosťa.

Váš virtuálny stroj sa nedostane k internému systému, ktorý na hostiteľovi funguje bezchybne, a hostiteľ je pripojený cez klienta, ktorý vlastní smerovaciu tabuľku. Premostenie virtuálneho adaptéra do tunela vyzerá samozrejme a zlyháva z dvoch oddelených dôvodov. Funguje preklad na segmente, ktorý vlastnia oba stroje. Cena je skutočná: každý hosť stratí vlastnú identitu v podnikovej sieti.

Dva dôvody, prečo most nemôže fungovať

Adaptér klienta zvyčajne nesie jednu adresu, často /32, a klient prepisuje trasy hostiteľa tak, aby bežná odchádzajúca prevádzka uprednostnila tunel. Aplikácie na hostiteľovi počúvajú túto tabuľku a dostanú sa k súkromnému systému. Premostený hosť tabuľku vôbec nečíta, pretože jeho rámce vychádzajú cez prepínač pod vrstvou IP.

Vloženie tunelového adaptéra do mosta by cestu teoreticky vyriešilo, ale ovládač to neprijme. Windows 10 tiež povoľuje iba jedno mostové zariadenie a odopiera rolu smerovania, ktorá by pracovnej stanici umožnila preposielať medzi dvoma podsieťami. Čo zostáva, je preklad zdroja. Zariaďte, aby prevádzka hosťa vyzerala, akoby prichádzala z hostiteľa, a rozhodnutia samotného hostiteľa ju zanesú do tunela bez toho, aby hosť potreboval trasu, ktorú mať nemôže.

Vytvorte segment, ktorý hostiteľ vlastní

V editore virtuálnej siete pridajte host-only sieť ako VMnet3 na predpone, ktorú nikde inde nesmerujete, napríklad 172.28.90.0/24. Hostiteľ si na tom adaptéri vezme 172.28.90.1 a hosť sa pripojí k rovnakému prepínaču. Vypnite DHCP hypervízora na tom segmente, aby ho vlastnila jedna adresná služba.

Predtým, než naň čokoľvek postavíte, overte, že Windows rozhranie vidí, pretože celý návrh závisí od toho, že ten adaptér je obyčajný:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

host-only adaptér sa tam zobrazí ako každý fyzický. Práve v tom je rozdiel oproti tunelovému adaptéru, ktorý sa nedá pripojiť k ničomu.

Preložte predponu hosťa

Otvorte reláciu so zvýšenými právami a predponu preložte. Najprv skontrolujte, čo už existuje, pretože runtime kontajnerov a hypervízory inštalujú vlastné preklady a vymazanie nesprávneho pokazí iný produkt.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Potom hosťa nastavte so statickou adresou v tejto predpone, 172.28.90.1 ako jeho bránou a adresami prekladača, ktoré tunel dáva hostiteľovi. Preklad preposiela pakety a hosťa o DNS nič nenaučí, takže hosť ponechaný na miestnom routeri preloží verejné mená a na každom internom zlyhá.

Skontrolujte prvý skok, potom cenu

Otestujte najbližšiu hranicu pred testovaním aplikácie. Trasa, ktorá sa zastaví na bráne hostiteľa, znamená, že preklad neprebieha, zatiaľ čo tá, ktorá sa zastaví za hostiteľom, znamená, že tunel je mimo prevádzky alebo druhá strana odmietla preloženú adresu.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Porovnajte s vlastným prístupom hostiteľa k rovnakému cieľu, kým je tunel aktívny. Ak hostiteľ uspeje a hosť nie, chyba je v preklade alebo v nastavení brány hosťa, nie v spojení.

Potom túto výmenu prijmite. Podnikové systémy teraz vidia jednu adresu pre každého hosťa, takže certifikáty zariadení a kontroly stavu jednotlivých zariadení ich nedokážu rozlíšiť a niektoré zásady to rovno zakazujú. Rozhodnite aj o správaní pri vypadnutí, pretože preložená prevádzka môže pri zlyhaní tunela prepadnúť na bežnú internetovú cestu, ak tú predponu nezablokujete na firewalle hostiteľa.

Súvisiace články