Mac OS X 10.8 VPN Server：LANトラフィックに対してVPNをバイパス（LANトラフィックをセカンダリ接続にルーティング）

OS X Mountain Lionを備えたVPNサーバーの設定が少し変わっています。これは基本的に、会社のファイアウォールをエクストラネット接続にバイパスするためのブリッジとして使用されています。チームが行う必要のある特定のことは、外部への自由なアクセスを必要とし、メインのファイアウォールを通過するトラフィックを許可するようにITポリシーを変更することはオプションではありません。

エクストラネット接続は、Wireless-Nルーターを介して提供されます（Wi-Fi Xと呼びましょう）。私のMac Miniサーバーは、このルーターへの接続をプライマリ接続として構成されているため、ルーター経由でインターネットに自由にアクセスできます。直接のサブネット上のこのデバイスへの接続は、LANポートを介して可能ですが、サブネットの外側のものは信頼性が低くなります。

PPTPとL2TPの両方を使用して192.168.11.150-192.168.11.200の範囲のクライアントにIPアドレスを提供するようにVPNサーバーを構成でき、標準のMac OS X VPNを使用してVPN経由でエクストラネットに接続できましたシステム環境設定のクライアント、ただし当然のことながら、ローカルアドレス（internal.company.comと呼びます）は何も返しません。

VPN設定でルートを設定して、VPNサーバーの制限を回避しようとしました。当社では、10.xxxではなく、13.xxxをすべての内部トラフィックに使用しているため、ルーティングテーブルは次のようになります。

IP Address ---------- Subnet Mask ---------- Configuration
0.0.0.0               248.0.0.0              Private
8.0.0.0               252.0.0.0              Private
12.0.0.0              255.0.0.0              Private
13.0.0.0              255.0.0.0              Public
14.0.0.0              254.0.0.0              Private
16.0.0.0              240.0.0.0              Private
32.0.0.0              224.0.0.0              Private
64.0.0.0              192.0.0.0              Private
128.0.0.0             128.0.0.0              Private

ここに何も入力しないと、すべてのトラフィックがVPN経由でルーティングされるという印象を受けました。何かが入力されると、VPNを通過するように特別にマークされたトラフィックだけがVPNを通過し、他のすべてのトラフィックは、独自のデフォルト接続を使用してアクセスするクライアントに任されます。これが、13.xxxを除くすべてのサブネットを特にプライベートとしてマークする必要があった理由です。

私の疑いは、ローカルサブネットの外部からVPNサーバーにアクセスできないため、メインのDNSサーバーに接続しておらず、大規模なネットワークでは到達できないことです。internal.company.comのようなホスト名を入力しても、解決するためにクライアントに戻されないのではないかと思います。サーバーがIPアドレスがパブリック範囲にあることを認識していないためです（おそらくpingテストする必要がありますが、現在、そのホストにアクセスできないため、DNSサーバーにアクセスできず、そのホスト名に関する情報を取得できません。

これを解決するための私のすべてのオプションは同じタイプのソリューションに要約されるように思えます：

サーバーのセカンダリ接続でDNSに到達する方法を理解します。私がサーバーに認識させるために[何か]できる場合は、ローカルゲートウェイもチェックする必要があると考えています（サーバーIP == 13.100.100.50およびゲートウェイIP == 13.100.100.1としましょう）。そこから、ゲートウェイIPは、13.1.1.1でDNSサーバーを検索し、内部ネットワークに関する情報を提供するように指示できます。私はこのパスについて非常に混乱しています。

このクライアントサイドを実行しようと考えましたが、クライアントサイドのすべてのセットアップに時間がかかるため、それも意味がありません。さらに、サーバーでそれを解決する方がより論理的であるように見えます-ルーティングテーブルを完全に削除するか、保持することができます-唯一の違いは、内部トラフィックもサーバーを通過することです-おそらく不必要な負担それ。

そこに何か助けはありますか？または私は私の頭の上にいますか？フォワードプロキシまたはトランスペアレントプロキシもオプションですが、どちらを設定するかわかりません。（私は知っている、Googleは私の友人です。）

まあ、私はそれに打撃を与えます：

一部のトラフィックのみを通過させる方法がわからないので、問題を解決できますが、設定を少し変更する必要があります。お使いのMacに2つのネットワークインターフェイスがあると仮定します。それらをeth0とeth1と呼びましょう:-)

eth0が仕事用ネットワークに接続され、内部（仕事用ネットワーク）アドレスが13.1.1.6、サブネット255.0.0.0であると仮定します。

また、eth1がWiFi Xに接続されており、アドレス（eth1 <---> WiFi Xネットワーク）が192.168.1.10、サブネット255.0.0.0であると仮定します。

私はBSDとLinuxにVPNサーバーをセットアップしましたが、Macはセットアップしませんでしたが、コンセプトは同じで、オプションがあります。

1）Macのルーティングテーブルに次のエントリがあることを確認します。

$>sudo route add 13.0.0.0/8 eth0

これが行うことは、会社のネットワーク（13ネットワーク）を宛先とするWiFi XまたはVPNインターフェース経由で着信するすべてのトラフィックが確実にそこに到達するようにすることです。これがなければ、Mac（ブリッジを提供する）は実際には2つのインターフェース間でトラフィックをルーティングする方法を知る方法がなく、デフォルトでは、デフォルトのインターフェースであるWiFi Xから送信しようとします。

上記のVPNルーティングテーブルに対して行った操作を元に戻し、（うまくいけば）まだそこにない場合は、これを試します。

上記でうまくいかない場合は、VPNサーバーのルーティングテーブルとIPアドレスリストを更新するか、遭遇した修正を更新してください。これがあなたを正しい方向に向けることを願っています。