Како доћи до приватне услуге преко VPN-а у виртуелној машини

Третирајте госта и Mac као две одвојене мреже спојене једним уским вратима. Виртуелна машина задржава свој VPN клијент и сопствени пут до интернета; Mac долази до тачно једне услуге преко адаптера само за домаћина и једног прослеђеног порта. Ништа друго не сме да пређе. Пратите кораке по реду и зауставите се када неки не успе, јер сваки каснији корак претпоставља да су претходни издржали.

Запишите оба пута пре него што било шта промените

На госту ipconfig /all исписује адаптер који носи VPN транспорт и адресу коју је добио од DHCP-а виртуелне мреже. На Mac-у запишите виртуелни интерфејс који је хипервизор направио за тај сегмент; код VMware Fusion уређај само за домаћина је обично vmnet1, а Parallels даје своје име. Обратите пажњу ко тамо дели адресе, па све запишите, јер се подмрежа само за домаћина често изнова додељује када се виртуелна мрежа поново створи. Проверите мрежни режим виртуелне машине у хипервизору, а не у свом сећању на њега. Дељени или NAT режим за адаптер окренут интернету плус режим само за домаћина за адаптер окренут Mac-у јесте распоред који ови кораци претпостављају.

Два адаптера, две сврхе. Мешање тако да један адаптер служи и Mac-у и интернету јесте оно што уска врата претвара у рутирану стазу.

Прво потврдите гостов сопствени VPN

Покрените клијент унутар Windows-а и потврдите да се завршава, којим год тестом добављач документује. Не идите даље док гост сам не дође до приватне услуге, јер проблем прослеђивања наслаган на покварен тунел има два узрока и нема корисну поруку о грешци. Запишите приватну адресу у коју се услуга разрешава из унутрашњости госта. Та адреса је једино што правило прослеђивања треба да наведе.

Ако клијент гура пуни тунел, адаптер само за домаћина и даље носи локални саобраћај, али проверите да приватно одредиште није захваћено тунелом на начин који му мења адресу. Профил са подељеним тунелом то олакшава и вреди га затражити од онога ко поседује VPN.

Додајте крак само за домаћина и тестирајте га самог

Прикључите адаптер само за домаћина на госта, дајте му статичну адресу на подмрежи коју ништа друго не користи и потврдите да Mac може да га пингује. Тестирајте са повезаним и са искљученим VPN-ом, јер адреса мора да издржи обоје. Гост који одговара само док му је тунел подигнут има проблем рутирања који још нисте пронашли.

Windows може да класификује нови адаптер као јавну мрежу, што по подразумеваном блокира долазни саобраћај. Поставите профил пре него што будете дебаговали било шта друго.

Проследите један порт, не подмрежу

Преферирајте један прослеђени порт уместо општег IP прослеђивања. Windows испоручује netsh interface portproxy, који прослеђује порт који слуша на одредишни домаћин и порт, и потребно му је да услуга IP Helper ради.

Увек поставите listenaddress на адресу само за домаћина. Ако га изоставите, везују се сви интерфејси, што излаже услугу било којој мрежи на којој се виртуелна машина затекне. Додајте правило заштитног зида ограничено на интерфејс само за домаћина и тај један порт, да се слушалац и дозвола слажу. Апликација која познаје proxy можда ће уместо тога хтети мали proxy унутар госта, који прекида везу и не треба повратну руту до Mac-а. Изаберите proxy када протокол то дозвољава, јер он по конструкцији пада затворено.

Проверите, па запишите план враћања

Са Mac-а разрешите приватно име, извршите предвиђену радњу, па зауставите гостов VPN и потврдите да радња пада уместо да се тихо враћа на старо. Та последња провера доказује да је стаза управо она коју сте изградили. Запишите који идентитет види мрежни пролаз и коме је дозвољено да користи прослеђивање.

Запишите враћање у три корака: уклоните portproxy унос, уклоните правило заштитног зида, откачите адаптер само за домаћина. Затим га извршите једном, пре него што вам затреба, и потврдите да гостов сопствени VPN и после ради. Ако ваша организација захтева да се сваки Mac пријави независно, зауставите се овде и уместо тога користите тај модел, јер заједничка тачка прослеђивања концентрише приступ на једног госта. У сваком случају ставите адресе и порт у запис о променама; следећа особа неће хтети да их поново открива.