Pagbabahagi ng VPN session ng host sa isang VMware guest

Hindi naaabot ng iyong virtual machine ang isang panloob na sistema na perpektong gumagana sa host, at ang host ay konektado sa pamamagitan ng isang client na nagmamay-ari ng routing table. I-bridge ang virtual adapter sa tunnel mukhang malinaw at nabigo sa dalawang magkaibang dahilan. Ang gumagana ay pagsasalin sa isang segment na pagmamay-ari ng dalawang makina. Totoong may halaga ito: bawat guest ay nawawalan ng sariling pagkakakilanlan sa corporate network.

Dalawang dahilan kung bakit hindi gumagana ang bridge

Karaniwang may isang address ang adapter ng client, madalas /32, at muling isinusulat ng client ang mga ruta ng host para mas piliin ng ordinaryong papalabas na trapik ang tunnel. Sinusunod ng mga aplikasyon sa host ang talahanayang iyon at naaabot ang pribadong sistema. Ang naka-bridge na guest ay hindi kailanman nagbabasa ng talahanayan, dahil lumalabas ang mga frame nito sa isang switch sa ilalim ng IP layer.

Aayusin ng paglalagay ng tunnel adapter sa isang bridge ang landas sa teorya, at hindi ito tatanggapin ng driver. Isang bridge device lang din ang pinapayagan ng Windows 10 at hindi nito ibinibigay ang routing role na magpapahintulot sa isang workstation na mag-forward sa pagitan ng dalawang subnet. Ang natitira ay source translation. Gawing mukhang galing sa host ang trapik ng guest, at dadalhin ito ng sariling desisyon ng host sa tunnel nang hindi kailangan ng guest ang rutang hindi nito maaaring magkaroon.

Gumawa ng segment na pagmamay-ari ng host

Sa editor ng virtual network, magdagdag ng host-only network tulad ng VMnet3 sa isang prefix na hindi mo niruruta sa ibang lugar, halimbawa 172.28.90.0/24. Kinukuha ng host ang 172.28.90.1 sa adapter na iyon at kumokonekta ang guest sa parehong switch. Patayin ang DHCP ng hypervisor sa segment na iyon para isang serbisyo ng address lang ang may-ari.

Tiyakin na nakikita ng Windows ang interface bago ka magtayo ng kahit ano sa ibabaw nito, dahil nakasalalay ang buong disenyo sa pagiging ordinaryo ng adapter na iyon:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

Lumilitaw doon ang host-only adapter tulad ng anumang pisikal. Iyon mismo ang pagkakaiba sa tunnel adapter, na hindi maaaring ikabit sa kahit ano.

Isalin ang prefix ng guest

Magbukas ng elevated session at isalin ang prefix. Suriin muna kung ano ang mayroon na, dahil nag-i-install ang mga container runtime at hypervisor ng sarili nilang pagsasalin at ang pagbura ng mali ay makakasira ng ibang produkto.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Pagkatapos, i-configure ang guest na may static na address sa prefix na iyon, 172.28.90.1 bilang gateway nito, at ang mga address ng resolver na ibinibigay ng tunnel sa host. Nagpapasa ng packet ang pagsasalin at walang itinuturo sa guest tungkol sa DNS, kaya ang guest na naiwan sa lokal na router ay nagre-resolve ng mga pampublikong pangalan at nabigo sa bawat panloob.

Suriin ang unang hop, pagkatapos ang halaga

Subukan ang pinakamalapit na hangganan bago subukan ang isang aplikasyon. Ang trace na tumitigil sa gateway ng host ay nangangahulugang hindi nangyayari ang pagsasalin, habang ang tumitigil sa kabila ng host ay nangangahulugang bagsak ang tunnel o tinanggihan ng kabilang panig ang isinaling address.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Ihambing sa sariling pag-access ng host sa parehong destinasyon habang nakaupo ang tunnel. Kung nagtagumpay ang host at hindi ang guest, nasa pagsasalin o sa setting ng gateway ng guest ang depekto, hindi sa koneksyon.

Pagkatapos, tanggapin ang palitan. Isang address na lang ang nakikita ng mga corporate system para sa bawat guest, kaya hindi maaaring ipagkaiba ng mga certificate ng device at ng pagsusuri ng kalagayan ng bawat device, at ipinagbabawal ito ng ilang patakaran nang lubusan. Magpasya rin sa pag-uugali ng pagbagsak, dahil maaaring mahulog ang isinaling trapik sa ordinaryong daan ng internet kapag bumagsak ang tunnel, maliban kung hahadlangan mo ang prefix na iyon sa firewall ng host.