Brána VPN vo VirtualBox pre LAN: most, trasa a návrat

Premostite bránu VM do LAN, oznámte LAN klientom a pridajte trasu fondu do routera v LAN. Rozpracovaný príklad IPv4 so skutočnými návratovými cestami.

Vzdialení používatelia potrebujú dosiahnuť tlačiareň a súborový server vo fyzickej LAN a jediný nepretržite bežiaci linuxový stroj je virtuálny stroj VirtualBox. Premostenie VM do tejto LAN je prvá polovica. Druhou polovicou je návratová trasa, ktorú naozaj použije každé zariadenie v LAN, a práve tú väčšina konfigurácií vynechá. Keď chýba, tunel sa spojí, klient pingne bránu a nič ďalšie neodpovedá.

Používajte adresy, na ktoré sa dá dostať

Nastavte LAN adaptér VM do režimu Bridged Adapter povoleného pre túto sieť a prideľte mu adresu bežným procesom prideľovania. VM sa potom vo fyzickej LAN objaví ako ktorýkoľvek iný hostiteľ. Jeho predvolená trasa musí naďalej používať skutočnú bránu, aby šifrovaná doprava k partnerovi VPN zostala dostupná. Nepoužívajte predvolenú adresu VirtualBox NAT ako ďalší skok pre LAN, pretože táto adresa žije za virtuálnym NAT a nie je on-link pre hostiteľa ani pre ostatné stroje v LAN.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Pred voľbou fondu adries skontrolujte prekrytie s domácimi sieťami vzdialených používateľov. Prekrytie sa zmení na nejednoznačnosť smerovania, ktorú žiadna konfigurácia servera neopraví.

Oznámte LAN a potom preposielajte

Pre server, ktorého autentifikácia a doprava sa už spravujú, vyzerajú sieťové riadky takto. Push povie prijímajúcemu klientovi, ako sa dostať do LAN, a sám o sebe nespôsobí, že by VM niečo preposielala.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Zapnite preposielanie IPv4 v trvalej sieťovej konfigurácii VM a povoľte fondu klientov dosiahnuť zamýšľané služby LAN na hranici preposielania VM. Povolenie prístupu k naslúchajúcemu VPN je samostatné pravidlo a už funguje, ak sa tunel zdvihol.

Návratová trasa patrí routeru v LAN

Zariadenia v LAN odpovedajú cez svoju predvolenú bránu, ktorou je router v LAN na 192.168.70.1. Ten router nemá tušenie, kde je 10.80.0.0/24, kým sa mu to nepovie. Pridajte trasu fondu do podporovanej trvalej konfigurácie routera a nasmerujte ju na adresu LAN VM. Pridanie iba na hostiteľovi VirtualBox opraví cesty, ktoré sa pýtajú tohto hostiteľa, a to nie je každé zariadenie v LAN.

ip route add 10.80.0.0/24 via 192.168.70.10

Vlastný firewall cieľa stále musí povoliť fond klientov ako zdroj. Trasa nesie paket; neudeľuje službu.

Ak router v LAN nemožno zmeniť, alternatívou je obmedzený preklad zdroja na VM. Odpovede sa vracajú bez trasy a jednotlivé adresy klientov sa pred službou LAN skryjú.

Sledujte jeden paket od začiatku do konca

Klient na 10.80.0.25 posiela na 192.168.70.40 tunelom. VM prepošle paket do LAN. Služba odpovie svojmu routeru, ktorý pre fond klientov vyberie VM, a VM vráti paket cez OpenVPN. Každý skok v tejto vete je miesto, kde môže návrh zlyhať.

Testujte skutočnou aplikáciou zo vzdialeného klienta a potom to zopakujte po opätovnom načítaní spravovanej konfigurácie na VM aj na routeri.

Ak sa klient dostane na VM, ale nie k službe, najprv skontrolujte trasu routera. Ak služba požiadavku prijme a klient nikdy neuvidí odpoveď, podozrivá je návratová cesta.

Súvisiace články