Cổng VPN VirtualBox cho LAN: cầu nối, tuyến đường, quay về

Người dùng từ xa cần truy cập một máy in và một máy chủ tệp trên LAN vật lý, và chiếc máy Linux duy nhất luôn bật là một VM VirtualBox. Bắc cầu VM đó vào LAN ấy là nửa đầu. Nửa sau là một tuyến quay về mà mọi thiết bị trong LAN thực sự sẽ dùng, và đó chính là phần mà hầu hết cấu hình bỏ sót. Khi thiếu nó, đường hầm vẫn kết nối, máy khách ping được cổng, và không còn gì trả lời.

Dùng địa chỉ có thể đến được

Đặt bộ điều hợp LAN của VM ở chế độ Bridged Adapter được chấp thuận cho mạng đó, và cấp cho nó một địa chỉ qua quy trình cấp phát thông thường. Khi đó VM xuất hiện trên LAN vật lý như bất kỳ máy chủ nào khác. Tuyến mặc định của nó vẫn phải dùng cổng thật, để lưu lượng mã hóa tới đối tác VPN vẫn đến được. Đừng dùng địa chỉ NAT mặc định của VirtualBox làm bước nhảy tiếp theo cho LAN, vì địa chỉ đó nằm sau một NAT ảo và không on-link với máy chủ hay các máy khác trong LAN.

LAN router:          192.168.70.1/24
VirtualBox host:     192.168.70.5/24
VPN gateway VM:      192.168.70.10/24
Example LAN service: 192.168.70.40
VPN client pool:     10.80.0.0/24

Kiểm tra trùng lặp với mạng gia đình của người dùng từ xa trước khi chọn nhóm địa chỉ. Sự trùng lặp biến thành sự mơ hồ trong định tuyến mà không cấu hình máy chủ nào sửa được.

Công bố LAN, rồi chuyển tiếp

Với một máy chủ đã được quản lý xác thực và vận chuyển, các dòng mạng trông như sau. push cho máy khách chấp nhận biết cách đến LAN, và bản thân nó không khiến VM chuyển tiếp bất cứ thứ gì.

dev tun
topology subnet
server 10.80.0.0 255.255.255.0
push "route 192.168.70.0 255.255.255.0"

Bật chuyển tiếp IPv4 trong cấu hình mạng lâu dài của VM và cho phép nhóm máy khách đến các dịch vụ LAN dự kiến tại ranh giới chuyển tiếp của VM. Quyền đến trình lắng nghe VPN là một quy tắc riêng, và nó đã hoạt động nếu đường hầm đã lên.

Tuyến quay về nằm trên bộ định tuyến của LAN

Các thiết bị trong LAN trả lời qua cổng mặc định của chúng, tức bộ định tuyến LAN tại 192.168.70.1. Bộ định tuyến đó không biết 10.80.0.0/24 nằm ở đâu nếu không được cho biết. Thêm tuyến của nhóm vào cấu hình lâu dài được hỗ trợ của bộ định tuyến, trỏ tới địa chỉ LAN của VM. Chỉ thêm nó trên máy chủ VirtualBox sẽ sửa các đường đi hỏi máy chủ đó, và đó không phải mọi thiết bị trong LAN.

ip route add 10.80.0.0/24 via 192.168.70.10

Tường lửa của đích vẫn phải cho phép nhóm máy khách là nguồn. Tuyến mang gói tin; nó không cấp dịch vụ.

Nếu không thể thay đổi bộ định tuyến LAN, biên dịch nguồn giới hạn trên VM là phương án thay thế. Nó làm các câu trả lời quay về mà không cần tuyến, và ẩn các địa chỉ máy khách riêng lẻ khỏi dịch vụ LAN.

Theo dõi một gói tin từ đầu đến cuối

Một máy khách tại 10.80.0.25 gửi tới 192.168.70.40 qua đường hầm. VM chuyển tiếp gói tin vào LAN. Dịch vụ trả lời bộ định tuyến của nó, bộ này chọn VM cho nhóm máy khách, và VM gửi trả gói tin qua OpenVPN. Mỗi bước nhảy trong câu đó là một nơi thiết kế có thể thất bại.

Hãy thử bằng ứng dụng thật từ một máy khách từ xa, rồi lặp lại sau khi nạp lại cấu hình được quản lý trên cả VM và bộ định tuyến.

Nếu máy khách đến được VM nhưng không đến được dịch vụ, hãy kiểm tra tuyến của bộ định tuyến trước. Nếu dịch vụ nhận được yêu cầu mà máy khách không bao giờ thấy câu trả lời, đường quay về là đối tượng bị nghi ngờ.