Дељење VPN сесије хоста са VMware гостем

Тунелски адаптер се не придружује мосту, а Windows 10 не усмерава између подмрежа. Host-only сегмент са NAT-ом носи госта.

Ваша виртуелна машина не може да дође до интерног система који беспрекорно ради на хосту, а хост је повезан преко клијента који поседује табелу усмеравања. Премошћавање виртуелног адаптера на тунел изгледа очигледно и пропада из два одвојена разлога. Ради превођење на сегменту који поседују обе машине. Цена је стварна: сваки гост престаје да има сопствени идентитет на корпоративној мрежи.

Два разлога зашто мост не може да ради

Адаптер клијента обично носи једну адресу, често /32, а клијент преписује руте хоста тако да обичан одлазни саобраћај преферира тунел. Апликације на хосту слушају ту табелу и долазе до приватног система. Гост за мостом уопште не чита табелу, јер његови оквири излазе кроз прекидач испод IP слоја.

Стављање тунелског адаптера у мост решило би пут теоретски, а драјвер то неће прихватити. Windows 10 такође дозвољава само један мостни уређај и ускраћује улогу усмеравања која би радној станици омогућила прослеђивање између две подмреже. Остаје превођење извора. Учините да гост саобраћај изгледа као да долази са хоста, и одлуке самог хоста га носе у тунел без потребе да гост има руту коју не може да има.

Направите сегмент који хост поседује

У уређивачу виртуелне мреже додајте host-only мрежу попут VMnet3 на префиксу који нигде другде не усмеравате, на пример 172.28.90.0/24. Хост узима 172.28.90.1 на том адаптеру, а гост се прикључује на исти прекидач. Онемогућите DHCP хипервизора на том сегменту да њиме управља једна адресна услуга.

Потврдите да Windows види интерфејс пре него што на њему нешто изградите, јер цео дизајн зависи од тога да тај адаптер буде обичан:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

host-only адаптер се тамо појављује као и сваки физички. Управо је то разлика у односу на тунелски адаптер, који не може да се прикључи ни на шта.

Преведите префикс госта

Отворите сесију са подигнутим овлашћењима и преведите префикс. Прво проверите шта већ постоји, јер окружења за извршавање контејнера и хипервизори инсталирају сопствена превођења, а брисање погрешног квари други производ.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Затим конфигуришите госта са статичком адресом у том префиксу, 172.28.90.1 као његовим приступником и адресама разрешивача које тунел даје хосту. Превођење прослеђује пакете и не учи госта ништа о DNS-у, па гост остављен на локалном рутеру разрешава јавна имена и пада на сваком интерном.

Проверите први скок, па цену

Тестирајте најближу границу пре тестирања апликације. Траг који се зауставља на приступнику хоста значи да се превођење не дешава, док онај који се зауставља иза хоста значи да је тунел пао или је друга страна одбила преведену адресу.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Упоредите са сопственим приступом хоста истој дестинацији док је тунел активан. Ако хост успе, а гост не, квар је у превођењу или у подешавању приступника госта, а не у вези.

Затим прихватите ту размену. Корпоративни системи сада виде једну адресу за сваког госта, па сертификати уређаја и провере стања по уређају не могу да их разликују, а неке политике то изричито забрањују. Одлучите и о понашању при испаду, јер преведени саобраћај може да пропадне на обичну интернет путању кад тунел падне, осим ако тај префикс блокирате на заштитном зиду хоста.

Повезани чланци