Die Foren-SW läuft ohne erkennbare Probleme. Sollte doch etwas nicht funktionieren, bitte gerne hier jederzeit melden und wir kümmern uns zeitnah darum. Danke!

Host-only Netzwerk, aber Zugriff auf Host/Server im LAN?

Hilfe bei Problemen mit der Installation und Benutzung der VMware Workstation und VMware Workstation Pro.

Moderatoren: Dayworker, irix

Member
Beiträge: 6
Registriert: 18.02.2014, 15:04

Host-only Netzwerk, aber Zugriff auf Host/Server im LAN?

Beitragvon rneuber1 » 18.02.2014, 16:12

Hallo zusammen,

ich habe eine VM, die ich prinzipiell komplett isoliert halten möchte und die daher im host-only Modus läuft. (s. Bild)
Nun muss ich aber von dort auf einen Webserver im LAN zugreifen können.
Die VM kennt ja nur das lokale Netz 192.168.130.x, kann ich ihr irgendwie beibringen, wie sie Zugriffe auf xx.yy.217.66 routen soll?
Ich habe schon versucht, direkt auf dem Host einen Web- oder Proxyserver laufen zu lassen, aber ich komme von der VM aus nicht dran.

Code: Alles auswählen

ping 192.168.130.1
funktioniert, aber ein

Code: Alles auswählen

 http://192.168.130.1:80
mit dort laufendem Apache hat nicht geklappt.
Hat jemand eine Idee, wie ich den im Bild rot dargestellten Zugriff erreichen kann?

Bild
\Ralf

King of the Hill
Beiträge: 13656
Registriert: 01.10.2008, 12:54
Wohnort: laut USV-Log am Ende der Welt...

Beitragvon Dayworker » 18.02.2014, 16:48

Setze eine feste Route in deinem Router von X.Y.237.80 auf die 192.168.130.128.

Member
Beiträge: 6
Registriert: 18.02.2014, 15:04

Beitragvon rneuber1 » 18.02.2014, 16:51

Dayworker hat geschrieben:Setze eine feste Route in deinem Router von X.Y.237.80 auf die 192.168.130.128.


Hmm, ich kann in unserem Firmennetz schlecht am Router rumfummeln, außerdem wäre das doch die falsche Richtung, oder?

\Ralf

Guru
Beiträge: 3114
Registriert: 27.12.2004, 22:17

Re: Host-only Netzwerk, aber Zugriff auf Host/Server im LAN?

Beitragvon rprengel » 18.02.2014, 19:25

rneuber1 hat geschrieben:Hat jemand eine Idee, wie ich den im Bild rot dargestellten Zugriff erreichen kann?

Bild
\Ralf


Eine zweite VM als Router mit 2 Nics
1 ) host only
2) bridged

aber grundsätzlich passt an deinem Konzept was nicht weil ein wenig schwanger gibt es ja auch nicht.

Gruss

Member
Beiträge: 6
Registriert: 18.02.2014, 15:04

Re: Host-only Netzwerk, aber Zugriff auf Host/Server im LAN?

Beitragvon rneuber1 » 18.02.2014, 20:58

rprengel hat geschrieben:Eine zweite VM als Router mit 2 Nics
1 ) host only
2) bridged

Aber trifft das nicht auf meinen Host zu? Hier habe ich doch Zugriff auf beide Interfaces. Kann ich da nicht einen Proxy/Router starten, der die Anfragen, die an 192.168.130.1 gehen an xx.yy.217.66 weiterleitet?
rprengel hat geschrieben:aber grundsätzlich passt an deinem Konzept was nicht weil ein wenig schwanger gibt es ja auch nicht.

Tja, das scheint nicht so einfach zu sein. Ich muss halt irgendwie aus der VM an unseren Git Server drankommen.

King of the Hill
Beiträge: 13656
Registriert: 01.10.2008, 12:54
Wohnort: laut USV-Log am Ende der Welt...

Beitragvon Dayworker » 19.02.2014, 02:29

:oops: Da habe ich mich vorhin echt vertan. Es müssen zwei sein. ;)

VM:
ziel XX.YY.217.66 zielmaske 255.255.0.0 gateway 192.168.130.1

Router:
ziel 192.168.130.0 zielmaske 255.255.255.0 gateway XX.YY.237.80


Wenn du keine feste Route im Router einrichten kannst, kannst du die VM auch mit NAT (VMnet8) statt Host-only (VMnet1) laufen lassen. Die VM taucht überall nur mit der IP des WS-Hosts (XX.YY.237.80) auf.

Guru
Beiträge: 3114
Registriert: 27.12.2004, 22:17

Beitragvon rprengel » 19.02.2014, 07:21

Dayworker hat geschrieben:
Wenn du keine feste Route im Router einrichten kannst, kannst du die VM auch mit NAT (VMnet8) statt Host-only (VMnet1) laufen lassen. Die VM taucht überall nur mit der IP des WS-Hosts (XX.YY.237.80) auf.


Bei NAT wäre sie aber nicht sauber isoliert. Es wurde ja ausdrücklich host-only erwähnt.
Gruss

Member
Beiträge: 6
Registriert: 18.02.2014, 15:04

Beitragvon rneuber1 » 19.02.2014, 08:37

Dayworker hat geschrieben:VM:
ziel XX.YY.217.66 zielmaske 255.255.0.0 gateway 192.168.130.1

Code: Alles auswählen

route add xx.yy.217.66 MASK 255.255.0.0 192.168.130.1

The route addition failed: The specified mask parameter is invalid. (Destination & Mask) != Destination.
Ich habe dann mal nur

Code: Alles auswählen

route add xx.yy.217.66 MASK 255.255.255.66 192.168.130.1

eingegeben, das hat dann geklappt, aber ein

Code: Alles auswählen

ping xx.yy.217.66

funktoniert trotzdem nicht.

\Ralf

Guru
Beiträge: 2761
Registriert: 23.02.2012, 12:26

Beitragvon ~thc » 19.02.2014, 09:01

Korrekt wäre eine Host-Route:

Code: Alles auswählen

route add xx.yy.217.66 MASK 255.255.255.255 192.168.130.1

Aber das nützt dir nicht viel, da

a) nach meinem Wissen das "Host-Only"-Netzwerkmodul der Workstation kein Routing/Forwarding zum anderen (physischen) Netzwerkadapter betreibt (die Pakete bleiben bereits in der Workstation hängen) und

b) der Ziel-Host (xx.yy.217.66) keine Route zurück zur VM kennt (für ihn ist das Netzwerk 130.149.1.x nicht erreichbar).

Du wirst IMHO um eine eigene NAT-Router-VM mit eigenen Regeln (Internet nein, xx.yy.217.66 ja) nicht herumkommen.

King of the Hill
Beiträge: 13656
Registriert: 01.10.2008, 12:54
Wohnort: laut USV-Log am Ende der Welt...

Beitragvon Dayworker » 19.02.2014, 12:35

rprengel hat geschrieben:Bei NAT wäre sie aber nicht sauber isoliert. Es wurde ja ausdrücklich host-only erwähnt.
Gruss
Das ist mir bewußt, allerdings vereinfacht NAT die Config und man spart sich die feste Route auf dem Router.


rneuber1 hat geschrieben:
Dayworker hat geschrieben:VM:
ziel XX.YY.217.66 zielmaske 255.255.0.0 gateway 192.168.130.1

Code: Alles auswählen

route add xx.yy.217.66 MASK 255.255.0.0 192.168.130.1

The route addition failed: The specified mask parameter is invalid. (Destination & Mask) != Destination.
Ich habe dann mal nur

Code: Alles auswählen

route add xx.yy.217.66 MASK 255.255.255.66 192.168.130.1

eingegeben, das hat dann geklappt, aber ein

Code: Alles auswählen

ping xx.yy.217.66

funktoniert trotzdem nicht.

\Ralf

Wenn das Zielnetzwerk XX.YY.217.66 eine andere Maske hat, muß bei Zielmaske natürlich dessen Maske rein. Da du zweimal "XX.YY" für die Bereiche X.Y.217.66 und X.Y.237.80 angegeben hast, war ich der Einfachheit halber von der Maske 255.255.0.0 ausgegangen.

Der Ping auf die IP XX.YY.217.66 funktioniert dann schon, allerdings kennt der Router keinen Weg zurück und du bekommst daher auch keine Rückantwort. Dazu brauchst du die zweite Route entweder im Router oder in einer bereits erwähnten Router-VM.


@~thc
Das Host-only nichts routet, stimmt in meinen Augen nicht so ganz. Es wird lediglich keine Route zur Aussenwelt ins Gast-OS eingetragen. Wenn man das wie mit der zusätzlichen Route nachholt, kommt man auch in einer VM mit konfiguriertem Host-only in andere Netzwerkbereiche. Das man dadurch die Sicherheit des Hostonly-Netzwerks beeinträchtigt, setze ich als bekannt und wissentlich in Kauf genommen voraus.

Von der Warte haut "rpengel" seine Aussage zum TO "aber grundsätzlich passt an deinem Konzept was nicht weil ein wenig schwanger gibt es ja auch nicht." voll hin. Den Ausweg sollte dann wirklich die von dir genannte NAT-Router-VM bringen. Dadurch verlagert sich die Komplexität aber zu dieser Router-VM hin. Als Zielgateway einer zusätzlichen Route von Host-only müßte dann auf den ersten, undurchdachten Blick die IP des NAT-Gerätes fungieren, wobei ich in jedem Fall den VMware-DHCP-Server von Host-only und NAT in der VMware-Workstation abschalten würde. Das zusammengenommen mit der Tatsache, daß die Performance der NAT-VM hochgradig von der allgemeinen Host-Auslastung abhängig ist, würden mich zur Quick-and-Dirty-Lösung sprich feste Route im Router bewegen. Die Router-VM wäre aber die deutlich elegantere Lösung, da man diese Router-VM sicherlich auch noch für weitere Dinge mitnutzen könnte.

Member
Beiträge: 6
Registriert: 18.02.2014, 15:04

Beitragvon rneuber1 » 19.02.2014, 13:20

Dayworker hat geschrieben:Das Host-only nichts routet, stimmt in meinen Augen nicht so ganz. Es wird lediglich keine Route zur Aussenwelt ins Gast-OS eingetragen. Wenn man das wie mit der zusätzlichen Route nachholt, kommt man auch in einer VM mit konfiguriertem Host-only in andere Netzwerkbereiche. Das man dadurch die Sicherheit des Hostonly-Netzwerks beeinträchtigt, setze ich als bekannt und wissentlich in Kauf genommen voraus.

Das war ja auch mein erster Ansatz: Ich starte auf dem Host einen Proxy und muss dann nur zwischen Host und Gast routen. Mir ist nicht ganz klar, warum das nicht funktioniert.
Aus dem Gast heraus kann ich den Host anpingen (192.168.130.1), andersherum komme ich vom Host auch an einen im Gast laufenden Webserver dran, d.h. hier kann ich in beide Richtungen kommunizieren.
Mit der richtigen Route (welche?) müsste ich doch auch vom Gast aus die externe IP des Hosts anpingen können, oder?

Dann könnte ich vom Gast aus den Proxy auf dem Host ansprechen, der dann mit dem eigentlichen Server im LAN redet.
Wo ist mein Denkfehler?
\Ralf

Guru
Beiträge: 2761
Registriert: 23.02.2012, 12:26

Beitragvon ~thc » 19.02.2014, 14:49

Dayworker hat geschrieben:Das Host-only nichts routet, stimmt in meinen Augen nicht so ganz. Es wird lediglich keine Route zur Aussenwelt ins Gast-OS eingetragen. Wenn man das wie mit der zusätzlichen Route nachholt, kommt man auch in einer VM mit konfiguriertem Host-only in andere Netzwerkbereiche. Das man dadurch die Sicherheit des Hostonly-Netzwerks beeinträchtigt, setze ich als bekannt und wissentlich in Kauf genommen voraus.
Hast du das schon praktisch umgesetzt? Das würde nämlich nach meinem Verständnis dem Zweck des VMNet1-Switches (Host Only Isolation) entgegenwirken.

Und selbst wenn es so wäre: Der Ziel-Host xx.yy.217.66 bekommt dann ein Paket von 130.149.130.x - und wie soll er darauf antworten?

Der von "rneuber1" beobachtete Effekt - das ein auf dem Host installierter Webserver trotz des Abhörens aller Interfaces (*:80) auf Port 80 nicht erreichbar ist - spricht für eine funktionierende Isolation.

King of the Hill
Beiträge: 13656
Registriert: 01.10.2008, 12:54
Wohnort: laut USV-Log am Ende der Welt...

Beitragvon Dayworker » 20.02.2014, 03:15

@rneuber1
Das du den Workstation-Host von deiner Hostonly-VM anpingen kannst, ist normal. Dazu steht dem WS-Host ja das "VMware Virtual Network VMnet1" sprich Host-only über deine eingestellte IP 192.168.130.1 zur Verfügung. Ich sage deine IP, weil die WS10 in Voreinstelluing für das "VMnet1" mit dem Netzwerkbereich 172.16.174.0/8 ausgeliefert wurde. Diesen IP-Bereich kann man aber problemlos über den "Virtual Network Editor" sprich "vmnetcfg.exe" im Workstation-Programmeordner ändern. Jede VM die mit einer IP in deinem Bereich 192.168.130.2 - 192.168.130.253 (1 ist der Host, 254 der VMware-DHCP-Server und 255 ist der normale Netzwerk-Broadcast) ausgestattet ist, kann auch auf jeden anderen Rechner innerhalb dieses privaten Netzwerkes zuzugreifen. Voraussetzung dafür ist natürlich, daß keine Firewall auf jeder VM eine Verbindung blockiert.

Die erste von zwei nötigen Route für dein Hostonly-Netzwerk hattest du doch selber schon genannt:

Code: Alles auswählen

route add xx.yy.217.66 MASK 255.255.255.66 192.168.130.1
Wichtig bei deiner Route ist nur, daß deine Maskeneinstellung wirklich zur IP xx.yy.217.66 paßt. Mit deiner Ziel-Maske 255.255.255.66 könnte die Webserver-IP auch genauso gut auf XX.YY.ZZ.66 lauten. Du kannst eine Maske nicht künstlich verkleinern oder vergrössern, wenn das angesprochene Netzwerk eine grössere oder kleinere Maske hat.

Damit kommst du erstmal bis zum Win2k8-Webserver mit der IP XX.YY.217.66, wobei du aber ohne die Rückroute nach 192.168.130.0 mit Hostonly-Zielmaske 255.255.255.0 und Gateway XX.YY.237.80 keinerlei Antwort auf ein Pingen erhältst. Damit die Rückantwort klappt, brauchst du im Router bzw Router-VM noch die Route:

Code: Alles auswählen

route add 192.168.130.0 MASK 255.255.255.0 XX.YY.237.80
Über diese Route erfährt der Webserver, daß alle Anfragen aus dem IP-Bereich 192.168.130.0 über das Gateway XX.YY.237.80 sprich deinen Workstation-Host beantwortet werden müssen. Wenn du aber aus welchen Gründen auch immer keine feste Route setzen darfst, kannst du aufgrund der Verletzung des Hostonly-Netzwerkes der VM auch genauso gut das VMware-NAT-Device geben. Die Abgeschiedenheit von Host-only ist in meinen Augen aufgrund deiner in die Aussenwelt gesetzen Route sowieso nicht mehr gegeben.



@~thc
Bis auf mein Schnellposting mit der Einzelroute lautet die Antwort inzwischen ja. Ich habe mir eine Hostonly-VM aufgebaut und diesem Gast-OS eine zusätzliche Route in die Aussenwelt mitgegeben. Solange mein Router aber keine Route für das Hostonly-Netzwerk mit Gateway zum VMware-Host bekommen hat, schlägt bereits jedes Ping sowohl vom Hostonly-Gast in Richtung Router als auch einem anderen Rechner im Netzwerk in Richtung Hostonly-Gast fehl. Ich hab spasseshalber mal wechselseitig sowohl in der Hostonly-VM als auch auf einem anderen Rechner innerhalb meines Netzwerkes den HFS ~ Http File Server gestartet und konnte dann jeweils über den anderen Webserver angebotene Dateien runterladen. Der Einfachheit halber habe ich dafür die ISOs der VMware-Tools genommen

Deine genannte Hostonly-Isolation des "VMnet1" besteht also im Grunde nur durch das Fehlen einer Route in die Aussenwelt. Wenn du sowohl eine Route zur Aussenwelt in der VM und eine Rückroute für die Aussenwelt zur VM erstellst, wird die VM ein ganz normaler Netzwerkteilnehmer deines Heimnetzes. Allerdings hat die VM dann eine nicht zum restlichen Heimnetz passende IP-Adresse.




Weshalb man bei Host-only zwei Routen braucht, wird einem klar, wenn man die Erläuterungen in einer FritzBox zu festen Routen vor seinen Augen hat. Da steht geschrieben:
Geben Sie statische Routen in Ihrem lokalen Netzwerk an. Diese Einstellung ist nur erforderlich, wenn Ihr lokales Netzwerk aus mehreren Subnetzen besteht und diese Subnetze nicht direkt mit der FRITZ!Box verbunden sind.
Host-only stellt in Voreinstellung genau so ein nicht direkt mit der FRITZ!Box verbundenes Subnetz dar, denn nur der VMware-Host weiß aufgrund des Hostonly-Netzwerkgerätes überhaupt von dessen Existenz.

Guru
Beiträge: 2761
Registriert: 23.02.2012, 12:26

Beitragvon ~thc » 20.02.2014, 10:45

@Dayworker: Danke für die Info - dann ist also "Host-Only" in diesem Szenario für die "richtige" Isolation von VMs eher ungeeignet.

Kleine Netzmaskenkunde: Eine Netzwerkmaske drückt als Binärzahl aus, welche Bits der IP-Adresse sich in dem damit spezifizierten Subnetz ändern dürfen (0) und welche nicht (1). Netzwerkmasken sind "linksbündig", d.h. von links nach rechts gelesen stehen dort zuerst die maskierten Bits (1) und dann folgen die nicht maskierten (0) eines Bytes der IP-Adresse:

Code: Alles auswählen

Dezimal   0 Binär 00000000 Alle Bits der IP-Adresse dürfen sich ändern
Dezimal 128 Binär 10000000 Nur das erste Bit der IP-Adresse darf sich nicht verändern
Dezimal 192 Binär 11000000 Die ersten beiden Bits der IP-Adresse dürfen sich nicht verändern
Dezimal 224 Binär 11100000 Die ersten drei Bits der IP-Adresse dürfen sich nicht verändern
Dezimal 240 Binär 11110000 Die ersten vier Bits der IP-Adresse dürfen sich nicht verändern
Dezimal 248 Binär 11111000 Die ersten fünf Bits der IP-Adresse dürfen sich nicht verändern
Dezimal 252 Binär 11111100 Die letzten beiden Bits der IP-Adresse dürfen sich verändern
Dezimal 254 Binär 11111110 Nur das letzte Bit der IP-Adresse darf sich verändern
Dezimal 255 Binär 11111111 Alle Bits der IP-Adresse dürfen sich nicht verändern

Welche IP-Adressen bzw. welches konkrete Subnetz damit dann letztendlich gemeint ist, hängt von der IP-Adresse ab, die mit der Maske zusammen genannt wird - also welche der maskierten, linksbündigen Bits in der IP-Adresse gesetzt sind. Für das letzte Byte einer Adresse sieht das dann so aus (die in den Klammern angegebenen Werte rechnen die "Spezial-IPs": 0 und 255 mit dazu):

Code: Alles auswählen

Maske   0: Alle Adressen 1 bis 254 (1 Subnetz mit 256 Adressen)
Maske 128: Adressen 1 bis 127 oder 128 bis 254 (2 Subnetze mit je 128 Adressen)
Maske 192: Adressen 1 bis 63 oder 64 bis 127 oder 128 bis 191 oder 192 bis 254 (vier Subnetze mit je 64 Adressen)
Maske 224: [...] (acht Subnetze mit je 32 Adressen)
...
Maske 254: 127 mögliche Adresspaare (128 Subnetze mit je 2 Adressen)
Maske 255: Eine der 254 möglichen IP-Adressen (256 "Subnetze" mit je einer Adresse)

@rneuber1: Eine Maske von "66" ist also unsinnig und sollte eigentlich vom Route-Kommando abgelehnt werden. Leider sind nicht alle Route-Implementationen so konsequent, unsinnige Kombinationen auch wirklich abzulehnen.

@Dayworker: Ein Konstrukt wie "alle Hosts, deren Adresse auf .66 endet" lässt sich nicht mit den Parametern Adresse/Netzwerkmaske ausdrücken.

King of the Hill
Beiträge: 13656
Registriert: 01.10.2008, 12:54
Wohnort: laut USV-Log am Ende der Welt...

Beitragvon Dayworker » 20.02.2014, 11:55

@~thc
Das es ein Konstrukt wie "alle Hosts, deren Adresse auf .66 endet" nicht gibt, ist uns beiden klar.
Der TO müßte einfach mal die Subnetzmasken von Workstation-Host und Webserver posten und ggf die dazugehörenden Beispiel-IPs ändern. Dann wüßte ich zumindest, ob meine Annahmen zu XX.YY.217.66 und XX.YY.237.80 überhaupt korrekt sind. Für mein Verständnis bedeutet gleiche Farben auch gleiche Triplets und da der TO bisher nichts zum restlichen Routing gesagt hat, wäre bei einer im gesamten Netzwerk gültigen Subnetzmaske von 255.255.255.0 das dritte Triplet sprich 217 oder 237 bereits festgelegt. Ein Router würde dann nur noch das vierte und letzte Triplet beachten, da aufgrund der von mir angenommenen im gesamten Netzwerk gültigen Subnetzmaske von 255.255.255.0, wie bereits von dir geschrieben, nur noch 256 IP-Adressen inklu Spezial-IPs möglich sind.

Die bei einer Subnetzmaske von 255.255.255.0 und den für den Workstation-Host XX.YY.237.80 und W2k8-Webserver XX.YY.217.66 angegebenen IP-Adressen lassen daher nur die Existenz eines weiteren Routers vermuten oder sowohl der Webserver als auch der Workstation-Host haben noch eine zweite Netzwerkkarte an Bord.


Um auf dein Posting "Der von "rneuber1" beobachtete Effekt - das ein auf dem Host installierter Webserver trotz des Abhörens aller Interfaces (*:80) auf Port 80 nicht erreichbar ist - spricht für eine funktionierende Isolation" zurückzukommen. Das läßt sich ja hoffentlich ganz einfach testen. Der Apache müßte zumindest eine Anfrage mit der IP 192.168.130.128 geloggt haben. Wobei der Port 80 auf dem Workstation-Host auch bereits belegt sein könnte, aber der Port läßt sich ja schnell in der Apache-Config auf einen unbenutzten umändern.
Auch der Kontakt auf den W2k8-Webserver ließe sich darüber dann hoffentlich prüfen. Sobald das Hostonly-Netzwerk die Route zum W2k8-Apachen gelegt bekommen hat, müßte dieser ebenfalls eine Verbindungsversuch mitloggen und mangels Rückroute nur nicht beantworten können.
Oder liege ich mit meinem Schnelltest völlig daneben und wegen der fehlenden Rückroute kommt schon überhaupt keine Verbindung von A nach B zustande :?:

Member
Beiträge: 6
Registriert: 18.02.2014, 15:04

Lösungsversuch mittels NAT

Beitragvon rneuber1 » 07.03.2014, 16:39

Hallo zusammen,

erstmal vielen Dank für die zahlreichen Antworten und Lösungsversuche.
Da das ursprünglich geplante Setup nicht funktioniert werde ich es doch mal per NAT probieren.
Ich habe also zusätzlich zum Host-only network noch eine weitere Netzwerkkarte hinzugefügt und die auf "NAT" gestellt.
Damit bekomme ich nun Zugriff auf unser LAN, was ich ja eigentlich nicht möchte.
Daher habe ich per

Code: Alles auswählen

route delete 0.0.0.0
und

Code: Alles auswählen

route add MyServerImLAN MASK 255.255.255.255 192.168.139.2 /P

den Zugriff auf alle anderen Rechner abgedreht und komme so nur an meinen einen Server dran.
Dies ist genau das Setup, das ich brauche und es funktioniert auch gut, ABER: ;-)

Nach jedem Reboot ist die default route 0.0.0.0 wieder auf das Standard Gateway gesetzt und ich komme wieder an alles dran. :-(

Wie kann ich das abdrehen?

Gruß, Ralf


Zurück zu „VMware Workstation und VMware Workstation Pro“

Wer ist online?

Mitglieder in diesem Forum: 0 Mitglieder und 9 Gäste