Porta VPN e VirtualBox për LAN: urë, rrugë, kthim

Përdoruesit në distancë duhet të arrijnë një printer dhe një server skedarësh në një LAN fizike, dhe i vetmi kompjuter Linux gjithmonë i ndezur është një VM VirtualBox. Ura e kësaj VM në atë LAN është gjysma e parë. Gjysma e dytë është një rrugë kthimi që çdo pajisje në LAN do ta përdorë vërtet, dhe pikërisht kjo është pjesa që shumica e konfigurimeve e harrojnë. Kur mungon, tuneli lidhet, klienti bën ping te porta, dhe asgjë tjetër nuk përgjigjet.

Përdorni adresa që mund të arrihen

Vendosni përshtatësin LAN të VM në modalitetin Bridged Adapter të miratuar për atë rrjet dhe jepini një adresë përmes procesit normal të caktimit. Atëherë VM shfaqet në LAN fizike si çdo host tjetër. Rruga e saj e parazgjedhur duhet të vazhdojë të përdorë portën e vërtetë, në mënyrë që transporti i kriptuar drejt partnerit VPN të mbetet i arritshëm. Mos përdorni adresën e parazgjedhur NAT të VirtualBox si kërcimin tjetër për LAN, sepse ajo adresë jeton pas një NAT virtuale dhe nuk është on-link për hostin ose për makinat e tjera në LAN.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Kontrolloni mbivendosjen me rrjetet shtëpiake të përdoruesve në distancë përpara se të zgjidhni grupin e adresave. Mbivendosja bëhet një paqartësi rrugëtimi që asnjë konfigurim serveri nuk e rregullon.

Shpallni LAN dhe më pas përcillni

Për një server, vërtetimi dhe transporti i të cilit tashmë menaxhohen, rreshtat e rrjetit duken kështu. Push-i i thotë klientit që pranon si të arrijë LAN, dhe nuk e bën VM të përcjellë asgjë vetvetiu.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Aktivizoni përcjelljen IPv4 në konfigurimin e përhershëm të rrjetit të VM dhe lejoni grupin e klientëve të arrijë shërbimet e synuara LAN në kufirin e përcjelljes së VM. Leja për të arritur dëgjuesin VPN është një rregull më vete, dhe funksionon tashmë nëse tuneli u ngrit.

Rruga e kthimit i takon routerit të LAN

Pajisjet në LAN përgjigjen përmes portës së tyre të parazgjedhur, që është routeri i LAN në 192.168.70.1. Ai router nuk e ka idenë se ku ndodhet 10.80.0.0/24 nëse nuk i thuhet. Shtoni rrugën e grupit në konfigurimin e përhershëm të mbështetur të routerit, duke e drejtuar te adresa LAN e VM. Shtimi vetëm në hostin VirtualBox rregullon shtigjet që pyesin atë host, dhe kjo nuk është çdo pajisje në LAN.

ip route add 10.80.0.0/24 via 192.168.70.10

Firewall-i i destinacionit duhet ende të lejojë grupin e klientëve si burim. Një rrugë mbart paketën; ajo nuk e jep shërbimin.

Nëse routeri i LAN nuk mund të ndryshohet, alternativa është përkthimi i kufizuar i burimit në VM. Ai i bën përgjigjet të kthehen pa rrugën dhe i fsheh adresat individuale të klientëve nga shërbimi LAN.

Ndiqni një paketë nga fillimi në fund

Një klient në 10.80.0.25 dërgon te 192.168.70.40 përmes tunelit. VM përcjell paketën në LAN. Shërbimi i përgjigjet routerit të vet, i cili zgjedh VM për grupin e klientëve, dhe VM e kthen paketën përmes OpenVPN. Çdo kërcim në atë fjali është një vend ku dizajni mund të dështojë.

Provoni me aplikacionin e vërtetë nga një klient në distancë, pastaj përsëritni pasi të keni rimbushur konfigurimin e menaxhuar si në VM ashtu edhe në router.

Nëse klienti arrin VM por jo shërbimin, kontrolloni fillimisht rrugën e routerit. Nëse shërbimi e merr kërkesën dhe klienti nuk e sheh kurrë përgjigjen, rruga e kthimit është e dyshuara.