Ana makinenin VPN oturumunu bir VMware konuğuyla paylaşma

Sanal makineniz ana makinede kusursuz çalışan bir iç sisteme ulaşamıyor ve ana makine yönlendirme tablosuna sahip bir istemci üzerinden bağlı. Sanal bağdaştırıcıyı tünele köprülemek apaçık görünür ve iki ayrı nedenle başarısız olur. İşleyen şey, iki makinenin de sahip olduğu bir segmentte çeviri yapmaktır. Bedeli gerçektir: her konuk kurumsal ağdaki kendi kimliğini yitirir.

Köprünün çalışamamasının iki nedeni

İstemcinin bağdaştırıcısı genellikle tek bir adres taşır, çoğu zaman bir /32, ve istemci ana makinenin yollarını yeniden yazar, böylece olağan giden trafik tüneli yeğler. Ana makinedeki uygulamalar bu tabloya uyar ve özel sisteme ulaşır. Köprülenmiş konuk tabloyu hiç okumaz, çünkü çerçeveleri IP katmanının altındaki bir anahtardan çıkar.

Tünel bağdaştırıcısını bir köprüye koymak yolu kuramsal olarak çözerdi ve sürücü bunu kabul etmez. Windows 10 ayrıca yalnızca tek bir köprü aygıtına izin verir ve bir iş istasyonunun iki alt ağ arasında iletmesini sağlayacak yönlendirme rolünü vermez. Geriye kaynak çevirisi kalır. Konuğun trafiğini ana makineden geliyormuş gibi gösterin, ana makinenin kendi kararları onu tünele taşır; konuğun sahip olamayacağı bir yola gereksinimi kalmaz.

Ana makinenin sahip olduğu bir segment oluşturun

Sanal ağ düzenleyicisinde, başka hiçbir yerde yönlendirmediğiniz bir ön ek üzerinde, örneğin 172.28.90.0/24 üzerinde VMnet3 gibi bir host-only ağ ekleyin. Ana makine o bağdaştırıcıda 172.28.90.1 adresini alır ve konuk aynı anahtara bağlanır. O segmentte hiper yöneticinin DHCP’sini kapatın ki tek bir adres hizmeti ona sahip olsun.

Üzerine bir şey kurmadan önce Windows’un arayüzü gördüğünü doğrulayın, çünkü tüm tasarım o bağdaştırıcının olağan olmasına bağlıdır:

Get-NetAdapter | Format-Table Name, InterfaceDescription, Status
Get-NetIPAddress -AddressFamily IPv4 | Where-Object PrefixLength -eq 24

host-only bağdaştırıcı orada herhangi bir fiziksel bağdaştırıcı gibi görünür. Tünel bağdaştırıcısından farkı tam da budur, çünkü ona hiçbir şey bağlanamaz.

Konuğun ön ekini çevirin

Yükseltilmiş bir oturum açın ve ön eki çevirin. Önce neyin var olduğunu denetleyin, çünkü konteyner çalışma ortamları ve hiper yöneticiler kendi çevirilerini kurar ve yanlış olanı silmek başka bir ürünü bozar.

Get-NetNat | Format-Table Name, InternalIPInterfaceAddressPrefix, Active
New-NetNat -Name "LabGuestEgress" -InternalIPInterfaceAddressPrefix 172.28.90.0/24

Ardından konuğu o ön ekte statik bir adresle, geçidi olarak 172.28.90.1 ile ve tünelin ana makineye verdiği çözümleyici adresleriyle yapılandırın. Çeviri paketleri iletir ve konuğa DNS hakkında hiçbir şey öğretmez, bu yüzden yerel yönlendiricide bırakılan konuk genel adları çözer ve her iç adda başarısız olur.

Önce ilk atlamayı, sonra bedeli denetleyin

En yakın sınırı deneyin bir uygulamayı denemeden önce. Ana makinenin geçidinde duran bir iz çevirinin gerçekleşmediğini gösterir; ana makinenin ötesinde duran bir iz ise tünelin düştüğünü ya da karşı tarafın çevrilmiş adresi reddettiğini gösterir.

tracert -d 172.20.31.10
nslookup intranet.corp.example
Get-NetNatSession -NatName "LabGuestEgress"

Tünel ayaktayken ana makinenin aynı hedefe kendi erişimiyle karşılaştırın. Ana makine başarılı olup konuk olmuyorsa kusur çeviride ya da konuğun geçit ayarında, bağlantıda değil.

Sonra bu değiş tokuşu kabul edin. Kurumsal sistemler artık her konuk için tek bir adres görür, bu yüzden aygıt sertifikaları ve aygıt başına durum denetimleri onları ayırt edemez ve bazı ilkeler bunu tümüyle yasaklar. Düşme davranışına da karar verin, çünkü tünel başarısız olduğunda çevrilmiş trafik olağan internet yoluna düşebilir; o ön eki ana makinenin güvenlik duvarında engellemezseniz.