Як дістатися до приватної служби через VPN на віртуальній машині

Ставтеся до гостьової системи й Mac як до двох окремих мереж, з'єднаних одними вузькими дверима. Віртуальна машина зберігає свій клієнт VPN і власний шлях в інтернет; Mac досягає рівно однієї служби через адаптер лише для хоста й один проброшений порт. Ніщо інше не має проходити. Виконуйте кроки по порядку й зупиняйтеся, коли якийсь не вдається, бо кожен наступний крок припускає, що попередні витримали.

Запишіть обидва шляхи, перш ніж щось змінювати

На гостьовій системі ipconfig /all показує адаптер, яким іде транспорт VPN, і адресу, отриману від DHCP віртуальної мережі. На Mac запишіть віртуальний інтерфейс, який гіпервізор створив для цього сегмента; у VMware Fusion пристрій лише для хоста зазвичай vmnet1, а Parallels дає своє ім'я. Зверніть увагу, хто там видає адреси, а потім запишіть усе, бо підмережа лише для хоста часто призначається заново, коли віртуальна мережа створюється повторно. Перевіряйте режим мережі віртуальної машини в гіпервізорі, а не у своїй пам'яті про нього. Спільний режим або режим NAT для адаптера, скерованого в інтернет, плюс режим лише для хоста для адаптера, скерованого на Mac, — це розкладка, яку припускають ці кроки.

Два адаптери, дві мети. Змішувати їх так, щоб один адаптер обслуговував і Mac, і інтернет, — саме це перетворює вузькі двері на маршрутизований шлях.

Спершу підтвердьте власний VPN гостьової системи

Запустіть клієнт усередині Windows і підтвердьте, що він завершується, будь-яким тестом, який документує постачальник. Не рухайтеся далі, доки гостьова система сама не досягне приватної служби, бо проблема проброски, накладена на зламаний тунель, має дві причини й не дає корисного повідомлення про помилку. Запишіть приватну адресу, у яку служба розв'язується зсередини гостьової системи. Саме цю адресу має називати правило проброски.

Якщо клієнт проштовхує повний тунель, адаптер лише для хоста все одно несе локальний трафік, але перевірте, що приватне призначення не захоплюється тунелем так, що його адреса змінюється. Профіль із розділеним тунелем це спрощує, і його варто попросити у власника VPN.

Додайте плече лише для хоста й перевірте його окремо

Приєднайте до гостьової системи адаптер лише для хоста, дайте йому статичну адресу в підмережі, яку більше ніщо не використовує, і підтвердьте, що Mac може його пінгувати. Перевірте з під'єднаним і вимкненим VPN, бо адреса має витримати обидва. Гостьова система, яка відповідає лише поки піднятий її тунель, має проблему маршрутизації, яку ви ще не знайшли.

Windows може віднести новий адаптер до загальнодоступної мережі, що типово блокує вхідний трафік. Задайте профіль, перш ніж налагоджувати будь-що інше.

Пробросьте один порт, а не підмережу

Надавайте перевагу одному проброшеному порту над загальною проброскою IP. Windows постачає netsh interface portproxy, який проброшує порт, що слухає, на цільовий хост і порт, і потребує запущеної служби IP Helper.

Завжди задавайте listenaddress на адресу лише для хоста. Якщо його оминути, прив'язуються всі інтерфейси, що виставляє службу в будь-яку мережу, де опиниться віртуальна машина. Додайте правило брандмауера, обмежене інтерфейсом лише для хоста й тим одним портом, щоб слухач і дозвіл збігалися. Застосунок, обізнаний із проксі, може натомість захотіти невеликий проксі всередині гостьової системи, який завершує з'єднання й не потребує зворотного маршруту до Mac. Виберіть проксі, коли протокол це дозволяє, бо він відмовляє закрито за своєю конструкцією.

Перевірте, а потім запишіть відкат

З Mac розв'яжіть приватне ім'я, виконайте задуману операцію, потім зупиніть VPN гостьової системи й підтвердьте, що операція не вдається, а не тихо відкочується. Саме ця остання перевірка доводить, що шлях — той, який ви побудували. Запишіть, яку особу бачить шлюз і кому дозволено користуватися проброскою.

Запишіть відкат у три кроки: вилучіть запис portproxy, вилучіть правило брандмауера, від'єднайте адаптер лише для хоста. Потім виконайте його один раз, перш ніж він знадобиться, і підтвердьте, що власний VPN гостьової системи після цього все ще працює. Якщо ваша організація вимагає, щоб кожен Mac реєструвався незалежно, зупиніться тут і використайте натомість ту модель, бо спільна точка проброски концентрує доступ на одній гостьовій системі. У будь-якому разі внесіть адреси й порт у журнал змін; наступна людина не захоче відкривати їх заново.