Kako doseči zasebno storitev prek VPN v navidezni stroj

Gostitelja in Mac obravnavajte kot dve ločeni omrežji, povezani z enimi ozkimi vrati. Navidezni stroj obdrži svojega odjemalca VPN in svojo pot v internet; Mac doseže natanko eno storitev prek vmesnika samo za gostitelja in enega samega preusmerjenega porta. Nič drugega ne sme prečkati. Sledite korakom po vrsti in se ustavite, ko kateri spodleti, ker vsak naslednji korak predpostavlja, da so prejšnji zdržali.

Zapišite obe poti, preden karkoli spremenite

Na gostu ipconfig /all izpiše vmesnik, ki nosi promet VPN, in naslov, ki ga je prejel od DHCP navideznega omrežja. Na Macu zapišite navidezni vmesnik, ki ga je hipervizor ustvaril za ta segment; pri VMware Fusion je naprava samo za gostitelja običajno vmnet1, Parallels pa svoji da svoje ime. Bodite pozorni, kdo tam dodeljuje naslove, in nato vse zapišite, ker se podomrežje samo za gostitelja pogosto znova dodeli, ko se navidezno omrežje znova ustvari. Način omrežja navideznega stroja preverite v hipervizorju, ne v svojem spominu nanj. Skupni način ali način NAT za vmesnik, obrnjen proti internetu, plus način samo za gostitelja za vmesnik, obrnjen proti Macu, je postavitev, ki jo predpostavljajo ti koraki.

Dva vmesnika, dva namena. Mešanje tako, da en vmesnik služi tako Macu kot internetu, je tisto, kar ozka vrata spremeni v usmerjeno pot.

Najprej potrdite gostov lastni VPN

Zaženite odjemalca znotraj Windows in potrdite, da se konča, s katerim koli testom, ki ga dokumentira dobavitelj. Ne nadaljujte, dokler gost sam ne doseže zasebne storitve, ker ima težava s preusmerjanjem, naložena na zlomljen tunel, dva vzroka in nobenega koristnega sporočila o napaki. Zapišite zasebni naslov, v katerega se storitev razreši znotraj gosta. Prav ta naslov mora navesti pravilo preusmerjanja.

Če odjemalec potisne polni tunel, vmesnik samo za gostitelja še vedno nosi lokalni promet, vendar preverite, da zasebnega cilja tunel ne zajame tako, da bi se spremenil njegov naslov. Profil z razdeljenim tunelom to poenostavi in vredno ga je zahtevati od lastnika VPN.

Dodajte krak samo za gostitelja in ga preizkusite samega

Na gosta priklopite vmesnik samo za gostitelja, dajte mu statični naslov v podomrežju, ki ga nič drugega ne uporablja, in potrdite, da ga Mac lahko pinga. Preizkusite s povezanim in odklopljenim VPN, ker mora naslov prestati oboje. Gost, ki odgovarja le, dokler je njegov tunel dvignjen, ima težavo z usmerjanjem, ki je še niste našli.

Windows lahko novi vmesnik razvrsti kot javno omrežje, kar privzeto blokira dohodni promet. Nastavite profil, preden razhroščujete karkoli drugega.

Preusmerite en port, ne podomrežja

Prednost dajte enemu preusmerjenemu portu pred splošnim preusmerjanjem IP. Windows prinaša netsh interface portproxy, ki preusmeri poslušajoči port na ciljnega gostitelja in port, in zahteva delujočo storitev IP Helper.

Vedno nastavite listenaddress na naslov samo za gostitelja. Če ga izpustite, se povežejo vsi vmesniki, kar izpostavi storitev kateremu koli omrežju, na katerem je navidezni stroj. Dodajte pravilo požarnega zidu, omejeno na vmesnik samo za gostitelja in ta eni port, da se poslušalec in dovoljenje ujemata. Aplikacija, ki pozna proxy, bo morda raje imela majhen proxy znotraj gosta, ki zaključi povezavo in ne potrebuje povratne poti do Maca. Izberite proxy, ko protokol to dovoli, ker odpove zaprto že po svoji zgradbi.

Preverite in nato zapišite umik

Z Maca razrešite zasebno ime, izvedite predvideno operacijo, nato ustavite gostov VPN in potrdite, da operacija spodleti, namesto da bi se tiho vrnila nazaj. Prav ta zadnja kontrola dokazuje, da je pot tista, ki ste jo zgradili. Zapišite, katero identiteto vidi prehod in kdo sme uporabljati preusmerjanje.

Zapišite umik v treh korakih: odstranite vnos portproxy, odstranite pravilo požarnega zidu, odklopite vmesnik samo za gostitelja. Nato ga enkrat izvedite, preden ga potrebujete, in potrdite, da gostov lastni VPN po tem še deluje. Če vaša organizacija zahteva, da se vsak Mac registrira neodvisno, se ustavite tukaj in namesto tega uporabite ta model, ker skupna točka preusmerjanja koncentrira dostop na enem gostu. Kakor koli, vnesite naslove in port v evidenco sprememb; naslednja oseba jih ne bo hotela znova odkrivati.