Prehod VPN v VirtualBoxu za LAN: most, pot, vrnitev

Oddaljeni uporabniki morajo doseči tiskalnik in strežnik datotek v fizičnem LAN, edini vedno delujoči Linux računalnik pa je navidezni stroj VirtualBox. Povezava VM v ta LAN prek mostu je prva polovica. Druga polovica je povratna pot, ki jo bo vsaka naprava v LAN res uporabila, in prav to večina nastavitev spregleda. Ko je ni, se tunel poveže, odjemalec pinga prehod in nič drugega se ne odzove.

Uporabite naslove, ki so dosegljivi

Nastavite LAN vmesnik VM v način Bridged Adapter, odobren za to omrežje, in mu dodelite naslov z običajnim postopkom dodeljevanja. VM se nato v fizičnem LAN pojavi kot vsak drug gostitelj. Njegova privzeta pot mora še naprej uporabljati pravi prehod, da ostane šifriran promet do partnerja VPN dosegljiv. Ne uporabljajte privzetega naslova NAT v VirtualBoxu kot naslednjega skoka za LAN, ker ta naslov živi za navideznim NAT in ni on-link za gostitelja ali druge stroje v LAN.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Pred izbiro nabora naslovov preverite prekrivanje z domačimi omrežji oddaljenih uporabnikov. Prekrivanje se spremeni v dvoumnost usmerjanja, ki je nobena konfiguracija strežnika ne odpravi.

Obvestite LAN in nato posredujte

Za strežnik, katerega preverjanje pristnosti in promet se že upravljata, so vrstice omrežja takšne. Push pove odjemalcu, ki sprejme povezavo, kako doseči LAN, in sam po sebi ne povzroči, da bi VM karkoli posredoval.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Vklopite posredovanje IPv4 v trajni omrežni konfiguraciji VM in dovolite naboru odjemalcev, da doseže predvidene storitve LAN na meji posredovanja VM. Dovoljenje za dostop do poslušalca VPN je ločeno pravilo in že deluje, če se je tunel dvignil.

Povratna pot spada na usmerjevalnik v LAN

Naprave v LAN odgovarjajo prek svojega privzetega prehoda, to je usmerjevalnik LAN na 192.168.70.1. Ta usmerjevalnik nima pojma, kje je 10.80.0.0/24, razen če mu povedo. Dodajte pot nabora v podprto trajno konfiguracijo usmerjevalnika in jo usmerite na naslov LAN VM. Če jo dodate samo na gostitelju VirtualBox, popravite poti, ki sprašujejo tega gostitelja, in to ni vsaka naprava v LAN.

ip route add 10.80.0.0/24 via 192.168.70.10

Požarni zid cilja mora še vedno dovoliti nabor odjemalcev kot vir. Pot nosi paket; ne podeli storitve.

Če usmerjevalnika LAN ni mogoče spremeniti, je alternativa omejeno prevajanje vira na VM. Odgovori se vrnejo brez poti, posamezni naslovi odjemalcev pa se skrijejo pred storitvijo LAN.

Sledite enemu paketu od začetka do konca

Odjemalec na 10.80.0.25 pošlje na 192.168.70.40 skozi tunel. VM posreduje paket v LAN. Storitev odgovori svojemu usmerjevalniku, ki za nabor odjemalcev izbere VM, in VM vrne paket prek OpenVPN. Vsak skok v tem stavku je mesto, kjer lahko zasnova odpove.

Preizkusite s pravo aplikacijo z oddaljenega odjemalca, nato ponovite po ponovnem nalaganju upravljane konfiguracije na VM in na usmerjevalniku.

Če odjemalec doseže VM, ne pa storitve, najprej preverite pot usmerjevalnika. Če storitev prejme zahtevo in odjemalec nikoli ne vidi odgovora, je sumljiva povratna pot.