Cách tiếp cận một dịch vụ riêng tư qua VPN trong máy ảo

Hãy coi khách và Mac là hai mạng riêng biệt được nối bằng một cánh cửa hẹp. Máy ảo giữ máy khách VPN và đường internet riêng của nó; Mac chỉ đến đúng một dịch vụ qua bộ điều hợp chỉ dành cho máy chủ và một cổng đã chuyển tiếp. Không thứ gì khác được đi qua. Làm theo các bước đúng thứ tự và dừng lại khi một bước thất bại, vì mỗi bước sau đều giả định các bước trước đã trụ vững.

Ghi lại hai đường trước khi thay đổi bất cứ điều gì

Trên khách, ipconfig /all hiển thị bộ điều hợp mang lưu lượng VPN và địa chỉ nó nhận từ DHCP của mạng ảo. Trên Mac, hãy ghi lại giao diện ảo mà trình giám sát ảo tạo cho phân đoạn đó; với VMware Fusion thiết bị chỉ dành cho máy chủ thường là vmnet1, còn Parallels đặt tên riêng. Để ý ai phân phát địa chỉ ở đó, rồi ghi lại tất cả, vì mạng con chỉ dành cho máy chủ thường được gán lại khi mạng ảo được tạo lại. Kiểm tra chế độ mạng của máy ảo trong trình giám sát ảo, chứ không phải trong ký ức của bạn về nó. Chế độ chia sẻ hoặc NAT cho bộ điều hợp hướng ra internet cộng chế độ chỉ dành cho máy chủ cho bộ điều hợp hướng về Mac là cách bố trí mà các bước này giả định.

Hai bộ điều hợp, hai mục đích. Trộn chúng để một bộ điều hợp phục vụ cả Mac lẫn internet chính là điều biến một cánh cửa hẹp thành một đường có định tuyến.

Trước hết hãy xác nhận VPN riêng của khách

Khởi động máy khách bên trong Windows và xác nhận nó kết thúc, bằng bất kỳ bài kiểm tra nào nhà cung cấp ghi lại. Đừng đi tiếp cho đến khi chỉ riêng khách đến được dịch vụ riêng tư, vì sự cố chuyển tiếp chồng lên một đường hầm hỏng có hai nguyên nhân và không có thông báo lỗi hữu ích. Ghi lại địa chỉ riêng tư mà dịch vụ phân giải tới từ bên trong khách. Chính địa chỉ đó là thứ duy nhất quy tắc chuyển tiếp nên nêu tên.

Nếu máy khách đẩy toàn bộ đường hầm, bộ điều hợp chỉ dành cho máy chủ vẫn mang lưu lượng cục bộ, nhưng hãy kiểm tra rằng đích riêng tư không bị đường hầm bắt theo cách làm thay đổi địa chỉ của nó. Một hồ sơ đường hầm chia tách làm việc này đơn giản hơn và đáng để yêu cầu người sở hữu VPN.

Thêm nhánh chỉ dành cho máy chủ và thử nó một mình

Gắn một bộ điều hợp chỉ dành cho máy chủ vào khách, cho nó địa chỉ tĩnh trên một mạng con mà không gì khác dùng, và xác nhận Mac ping được nó. Thử khi VPN đã kết nối và khi đã ngắt, vì địa chỉ phải chịu được cả hai. Một khách chỉ trả lời khi đường hầm của nó còn bật có sự cố định tuyến mà bạn chưa tìm ra.

Windows có thể phân loại bộ điều hợp mới là mạng công cộng, điều này chặn lưu lượng đến theo mặc định. Đặt hồ sơ trước khi gỡ lỗi bất cứ thứ gì khác.

Chuyển tiếp một cổng, không phải cả mạng con

Ưu tiên một cổng được chuyển tiếp hơn chuyển tiếp IP nói chung. Windows cung cấp netsh interface portproxy, công cụ chuyển tiếp cổng đang lắng nghe tới máy chủ và cổng đích, và nó cần dịch vụ IP Helper đang chạy.

Luôn đặt listenaddress thành địa chỉ chỉ dành cho máy chủ. Bỏ qua nó sẽ gắn mọi giao diện, điều này phơi bày dịch vụ cho bất kỳ mạng nào mà máy ảo đang ở. Thêm một quy tắc tường lửa giới hạn ở giao diện chỉ dành cho máy chủ và đúng một cổng đó, để bộ lắng nghe và quyền cho phép khớp nhau. Một ứng dụng hiểu proxy có thể muốn một proxy nhỏ bên trong khách, thứ kết thúc kết nối và không cần đường quay lại Mac. Hãy chọn proxy khi giao thức cho phép, vì nó thất bại theo hướng đóng ngay từ cấu trúc.

Xác minh, rồi viết kế hoạch hoàn nguyên

Từ Mac, phân giải tên riêng tư, chạy thao tác dự định, rồi dừng VPN của khách và xác nhận thao tác thất bại thay vì âm thầm quay lại. Chính lần kiểm tra cuối đó chứng minh đường đi là đường bạn đã dựng. Ghi lại cổng vào thấy danh tính nào và ai được phép dùng chuyển tiếp.

Viết hoàn nguyên thành ba bước: xóa mục portproxy, xóa quy tắc tường lửa, tháo bộ điều hợp chỉ dành cho máy chủ. Rồi chạy nó một lần, trước khi bạn cần đến nó, và xác nhận VPN riêng của khách vẫn hoạt động sau đó. Nếu tổ chức của bạn yêu cầu mỗi Mac tự đăng ký, hãy dừng ở đây và dùng mô hình đó thay thế, vì một điểm chuyển tiếp dùng chung tập trung truy cập vào một khách. Dù thế nào, hãy đưa địa chỉ và cổng vào hồ sơ thay đổi; người tiếp theo sẽ không muốn phát hiện lại chúng.