Deljenje VPN seje gostitelja z gostom VMware

Vaš virtualni stroj ne doseže notranjega sistema, ki na gostitelju deluje brezhibno, gostitelj pa je povezan prek odjemalca, ki ima usmerjevalno tabelo. Premostitev virtualnega vmesnika v tunel izgleda očitno in spodleti iz dveh ločenih razlogov. Deluje prevajanje na segmentu, ki ga imata oba stroja. Cena je resnična: vsak gost izgubi svojo identiteto v podjetniškem omrežju.

Dva razloga, zakaj most ne more delovati

Vmesnik odjemalca običajno nosi en naslov, pogosto /32, in odjemalec prepiše poti gostitelja, tako da običajen odhodni promet raje izbere tunel. Aplikacije na gostitelju ubogajo to tabelo in dosežejo zasebni sistem. Premoščeni gost tabele sploh ne bere, ker njegovi okviri izhajajo skozi stikalo pod plastjo IP.

Postavitev tunelskega vmesnika v most bi pot teoretično rešila, gonilnik pa tega ne bo sprejel. Windows 10 tudi dovoli samo eno mostno napravo in odreče vlogo usmerjanja, ki bi delovni postaji omogočila posredovanje med dvema podomrežjema. Kar ostane, je prevajanje vira. Poskrbite, da bo promet gosta videti, kot da prihaja z gostitelja, in odločitve samega gostitelja ga ponesejo v tunel, ne da bi gost potreboval pot, ki je ne more imeti.

Ustvarite segment, ki je v lasti gostitelja

V urejevalniku virtualnega omrežja dodajte omrežje samo gostitelja, kot je VMnet3, na predponi, ki je nikjer drugje ne usmerjate, na primer 172.28.90.0/24. Gostitelj na tem vmesniku prevzame 172.28.90.1, gost pa se priključi na isto stikalo. Onemogočite DHCP hipervizorja na tem segmentu, da ga bo imela v lasti ena naslovna storitev.

Preden na njem kar koli zgradite, potrdite, da Windows vidi vmesnik, ker je celotna zasnova odvisna od tega, da je ta vmesnik običajen:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

Vmesnik samo gostitelja se tam prikaže kot vsak fizični. Prav v tem je razlika od tunelskega vmesnika, ki ga ni mogoče priključiti na nič.

Prevedite predpono gosta

Odprite sejo s povišanimi pravicami in prevedite predpono. Najprej preverite, kaj že obstaja, ker izvajalna okolja vsebnikov in hipervizorji namestijo svoje prevode, brisanje napačnega pa pokvari drug izdelek.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Nato gosta nastavite s statičnim naslovom v tej predponi, 172.28.90.1 kot njegovimi vrati in naslovi razreševalnika, ki jih tunel daje gostitelju. Prevajanje posreduje pakete in gosta ne nauči ničesar o DNS, zato gost, ki ostane na krajevnem usmerjevalniku, razreši javna imena in spodleti pri vsakem notranjem.

Preverite prvi skok, nato ceno

Preizkusite najbližjo mejo preden preizkusite aplikacijo. Sled, ki se ustavi na prehodu gostitelja, pomeni, da prevajanje ne poteka, tista, ki se ustavi za gostiteljem, pa pomeni, da tunel ne dela ali da je oddaljena stran zavrnila prevedeni naslov.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Primerjajte z lastnim dostopom gostitelja do istega cilja, medtem ko je tunel aktiven. Če gostitelju uspe, gostu pa ne, je napaka v prevajanju ali v nastavitvi prehoda gosta, ne v povezavi.

Nato sprejmite to menjavo. Podjetniški sistemi zdaj vidijo en naslov za vsakega gosta, zato potrdila naprav in preverjanja stanja posameznih naprav ne morejo ločiti, nekatere politike pa to povsem prepovedo. Odločite se tudi o vedenju pri izpadu, ker lahko prevedeni promet ob okvari tunela pade na običajno internetno pot, razen če to predpono blokirate na požarnem zidu gostitelja.