Så når du en privat tjänst via en VPN på en virtuell maskin

Behandla gästen och Macen som två separata nätverk som förenas av en enda smal dörr. Den virtuella maskinen behåller sin VPN-klient och sin egen väg till internet; Macen når exakt en tjänst via en adapter bara för värden och en enda vidarebefordrad port. Inget annat ska passera. Följ stegen i ordning och stanna när ett steg misslyckas, eftersom varje senare steg förutsätter att de tidigare höll.

Skriv ned de två vägarna innan du ändrar något

På gästen visar ipconfig /all adaptern som bär VPN-trafiken och den adress den fick från det virtuella nätverkets DHCP. På Macen skriver du ned det virtuella gränssnitt som hypervisorn skapade för det segmentet; med VMware Fusion är enheten bara för värden vanligtvis vmnet1, och Parallels ger sin egen ett eget namn. Lägg märke till vem som delar ut adresser där och skriv sedan ned allt, eftersom subnätet bara för värden ofta tilldelas på nytt när ett virtuellt nätverk skapas om. Kontrollera den virtuella maskinens nätverksläge i hypervisorn i stället för i minnet av den. Delat läge eller NAT-läge för adaptern mot internet plus läge bara för värden för adaptern mot Macen är den ordning som dessa steg förutsätter.

Två adaptrar, två syften. Att blanda dem så att en adapter betjänar både Macen och internet är det som gör en smal dörr till en routad väg.

Bekräfta först gästens egen VPN

Starta klienten inne i Windows och bekräfta att den avslutas, med vilket test leverantören än dokumenterar. Gå inte vidare förrän gästen ensam når den privata tjänsten, eftersom ett vidarebefordringsproblem ovanpå en bruten tunnel har två orsaker och inget användbart felmeddelande. Skriv ned den privata adress som tjänsten löses upp till inifrån gästen. Den adressen är det enda som vidarebefordringsregeln ska namnge.

Om klienten trycker igenom en full tunnel bär adaptern bara för värden fortfarande lokal trafik, men kontrollera att den privata destinationen inte fångas av tunneln på ett sätt som ändrar dess adress. En profil med delad tunnel gör detta enklare och är värd att begära hos den som äger VPN:en.

Lägg till benet bara för värden och testa det ensamt

Anslut en adapter bara för värden till gästen, ge den en statisk adress i ett subnät som inget annat använder och bekräfta att Macen kan pinga den. Testa med VPN ansluten och frånkopplad, eftersom adressen måste överleva båda. En gäst som bara svarar så länge dess tunnel är uppe har ett routingproblem som du ännu inte hittat.

Windows kan klassificera den nya adaptern som ett offentligt nätverk, vilket blockerar inkommande trafik som standard. Ställ in profilen innan du felsöker något annat.

Vidarebefordra en port, inte subnätet

Föredra en enda vidarebefordrad port framför allmän IP-vidarebefordran. Windows levererar netsh interface portproxy, som vidarebefordrar en lyssnande port till en målvärd och -port, och det kräver att tjänsten IP Helper körs.

Ställ alltid in listenaddress på adressen bara för värden. Om du utelämnar det binds alla gränssnitt, vilket exponerar tjänsten för vilket nätverk den virtuella maskinen än sitter på. Lägg till en brandväggsregel begränsad till gränssnittet bara för värden och den enda porten, så att lyssnaren och tillståndet stämmer. Ett proxy-medvetet program vill kanske i stället ha en liten proxy inne i gästen, som avslutar anslutningen och inte behöver någon returväg till Macen. Välj proxyn när protokollet tillåter det, eftersom den misslyckas stängt av sin konstruktion.

Verifiera och skriv sedan återställningen

Från Macen löser du det privata namnet, kör den avsedda operationen och stoppar sedan gästens VPN och bekräftar att operationen misslyckas i stället för att tyst falla tillbaka. Just den sista kontrollen bevisar att vägen är den du byggde. Skriv ned vilken identitet gatewayen ser och vem som får använda vidarebefordran.

Skriv återställningen som tre steg: ta bort portproxy-posten, ta bort brandväggsregeln, koppla loss adaptern bara för värden. Kör den sedan en gång, innan du behöver den, och bekräfta att gästens egen VPN fortfarande fungerar efteråt. Om din organisation kräver att varje Mac registrerar sig självständigt, stanna här och använd den modellen i stället, eftersom en delad vidarebefordringspunkt koncentrerar åtkomst till en gäst. Hur som helst, sätt adresserna och porten i ändringsloggen; nästa person vill inte upptäcka dem igen.