NAT yn erbyn rhwydweithio VM wedi’i bontio: pa un sy’n cario traffig VPN?

Nid yw pontio a NAT yn ddwy ffordd o gysylltu’r un gwestai â’ch VPN; maent yn penderfynu pwy sy’n berchen ar becynnau’r gwestai cyn i unrhyw dwnnel fod yn rhan o’r darlun . Ym modd NAT mae’r hypervisor yn ailysgrifennu traffig y gwestai ac yn ei allyrru o god ar ochr y gwesteiwr, felly mae’r gwestai yn marchogaeth pa bynnag lwybr y mae’r gwesteiwr yn ei roi i’r cod hwnnw. Ym modd pontiedig mae’r gwestai yn cael ei hunaniaeth haen cyswllt ei hun ar y segment ffisegol ac yn dewis ei borth mynediad diofyn ei hun, sy’n gwneud twnnel y gwesteiwr yn amherthnasol iddo oni bai mai llwybrydd y LAN sy’n gwneud y twnelu. Peidiais â thrin y VM fel pe bai ar y VPN a dechreuais drin y peth fel cwestiwn ynghylch i ble mae llwybr diofyn y gwestai hwnnw’n pwyntio. Mae’r prawf isod yn cymryd ychydig funudau y modd ac yn setlo’r mater heb ddyfalu.

Mae NAT yn cadw’r gwestai y tu ôl i god y hypervisor, lle mae llwybrau’r gwesteiwr yn berthnasol

Yn VirtualBox mae gwestai NAT yn eistedd ar 10.0.2.0/24 gyda phorth mynediad rhithwir yn 10.0.2.2, dirprwy DNS yn 10.0.2.3, a dim llwybr iddo’i hun i’r rhwydwaith ffisegol. Mae pecynnau allanol yn cael eu cymryd gan yr injan NAT, eu hailysgrifennu fel mai’r gwesteiwr yw’r ffynhonnell, a’u trosglwyddo i stac IP y gwesteiwr. Oddi yno mae traffig y gwestai yn llif gwesteiwr, ac mae chwilio llwybr yn ôl cyrchfan: mae cleient twnnel llawn sy’n gosod 0.0.0.0/1 a 128.0.0.0/1 ar y gwesteiwr yn ei ddal heb wybod bod VM yn bodoli. Pennod rwydweithio VirtualBox Oracle yn rhestru’r rhagosodiadau hyn os hoffech gadarnhau’r cyfeiriadau ar eich adeiladwaith.

Mae rhwydwaith diofyn libvirt yn cyrraedd yr un lle o 192.168.122.0/24, lle mae dnsmasq yn dosbarthu lesau ac mae’r gwesteiwr yn gwynebu’r isrwydwaith, felly mae pecynnau’r gwestai yn cyrraedd penderfyniad llwybro’r gwesteiwr eto. Yr eithriad yw cleient sy’n dewis traffig yn ôl proses yn lle yn ôl llwybr. Os mai dim ond eich porwr sydd ar y rhestr twnnel hollt, nid yw’r injan NAT ar y rhestr honno, ac mae’r gwestai yn gadael y peiriant heb dwnel tra bod porwr y gwesteiwr yn dal i edrych yn gysgodol. Yr un isrwydwaith, canlyniad croes.

Mae pontio yn rhoi ei le ei hun i’r gwestai ar y LAN ffisegol

Mae gwestai pontiedig yn cael NIC rhithwir wedi’i gysylltu ag addasydd go iawn, yn cael ei gyfeiriad MAC ei hun, ac yn cymryd les DHCP o’r rhwydwaith ffisegol. Ei borth mynediad diofyn yw llwybrydd y LAN, nid y hypervisor, ac mae ei fframiau’n mynd ar y wifren drwy’r addasydd hwnnw. Mae llwybrau twnnel y gwesteiwr yn byw yn nhabl y gwesteiwr ac ni fyddant byth yn cael eu hystyried, oherwydd nid yw fframiau’r gwestai byth yn mynd i mewn i stac IP y gwesteiwr.

Mae hynny’n torri’r ddwy ffordd. Mae pori mDNS a SMB yn dechrau gweithio oherwydd bod y gwestai yn gweld traffig darlledu’r LAN, ac mae’r gwestai yn dod yn gyrhaeddadwy o beiriannau eraill ar yr un segment heb dan wal y gwesteiwr rhyngddynt. Nid yw pontio ychwaith yn ffordd o wthio gwestai drwy dwnnel presennol: nid yw cysylltu VM â rhyngwyneb WireGuard neu OpenVPN y gwesteiwr yn rhywbeth y mae VirtualBox neu libvirt yn ei wneud drosoch. Os rhaid i westai pontiedig gael ei dwnelu, rhaid i’r twnnel orffen yn rhywle ar y LAN honno.

Y prawf sy’n gorffen y ddadl

Rhedwch yr un gwiriadau yn y ddau fodd ac ysgrifennwch yr atebion:

• Ar y gwesteiwr mae curl -s https://ifconfig.me yn rhoi’r cyfeiriad v4 cyhoeddus.
• Yn y gwestai, yr un gorchymyn, ynghyd â ip route ar Linux neu Get-NetRoute -DestinationPrefix 0.0.0.0/0 ar Windows ar gyfer y porth mynediad diofyn.
• Hunaniaeth y datryswr: resolvectl status neu cat /etc/resolv.conf yn y gwestai, i weld a yw’n pwyntio at 10.0.2.3 neu at weinydd LAN.
• Teulu cyfeiriad: ip -6 addr show scope global ac un cais v6, oherwydd nid yw twnnel v4 yn dweud dim am gyfeiriad v6 byd-eang y gallai’r gwestai ei gael.

Mae cyfeiriadau cyhoeddus sy’n cydweddu’n golygu bod y gwestai ar lwybr y gwesteiwr. Mae cyfeiriad gwestai sy’n cydweddu ag allanfa arferol y LAN yn golygu nad yw. Y cam y mae pobl yn ei hepgor yw’r rheolaeth: gostyngwch dwnnel y gwesteiwr ac ailadroddwch gais y gwestai. Os bydd y gwestai yn parhau i bori, ni fu erioed yn dibynnu ar dwnnel y gwesteiwr, beth bynnag yw enw’r modd yn awgrymu. Ym modd NAT dylai’r gwestai golli mynediad i’r rhyngrwyd pan fo twnnel y gwesteiwr i lawr, oni bai bod y cleient wedi’i ffurfweddu i ganiatáu traffig heb dwnnel, sy’n werth ei wybod ar ei ben ei hun.

Mae dau signal yn dweud celwydd. Mae ping llwyddiannus yn profi cyrhaeddiad, nid llwybr allanfa. A gall DNS gael ei ateb gan y dirprwy 10.0.2.3 drwy ddatryswr y gwesteiwr tra bod TCP yn cymryd llwybr gwahanol, a dyna sut y cewch dudalen sy’n llwytho a mewngofnod sy’n peidio â chwblhau.

Pa fodd sy’n addas i’r gwaith

Penderfyniad llwybro yw’r modd, felly dewiswch ef o’r gofyniad yn lle o arfer:

Y rhes gyntaf yw lle mae pobl yn cael eu dal: mae NAT ynghyd â chleient twnnel llawn ar y gwesteiwr yn wir yn gorchuddio gwestai, ond dim ond tra bod y cleient yn twnelu yn ôl llwybr a bod cyswllt y gwesteiwr yn y twnnel hwnnw. Symudwch y cleient i restr caniatáu porwr yn unig ac mae’r gorchudd yn diflannu heb unrhyw wall yn unman. Y bedwaredd rhes yw’r camgymeriad croes: gwestai wedi’i bontio er hwylustod sy’n dechrau ateb SMB neu SSH ar LAN y swyddfa yn dawel.

Methiannau sy’n cael eu rhoi ar VPN

Ar Windows mae cyfieithu NAT yn rhedeg y tu mewn i broses VM VirtualBox, felly mae angen yr union ddelwedd honno ar glient fesul ap yn ei restr yn lle rheol gyffredinol ar gyfer peiriannau rhithwir. Pan fydd diweddariad cleient yn ailadeiladu’r restr prosesau a ganiateir, mae gwesteion NAT yn colli gorchudd gyntaf, ac mae’r adroddiad yn darllen fel VM sy’n cyrraedd y LAN ond nid y rhyngrwyd tra bod y gwesteiwr yn iawn.

Pontio i Wi-Fi yw’r un arall clasurod. Anaml y bydd pwyntiau mynediad yn trosglwyddo fframiau sy’n cario MAC ffynhonnell estron, felly mae pont i wlan0 naill ai’n methu’n llwyr neu’n gweithio nes bod unigedd cleientiaid ar y pwynt mynediad yn dechrau ei ollwng. Bydd VirtualBox yn dal i gynnig yr addasydd di-wifr ar ei restr. Os yw’r gwesteiwr ar Wi-Fi ac mae’n rhaid pontio’r gwestai, cynlluniwch ei brofi yn lle ei dybio.

MTU yw’r trydydd. Mae gwestai pontiedig yn cadw MTU 1500 beit y LAN, ac os yw’n rhedeg ei gleient WireGuard ei hun ar 1420, mae ysgydwadau TLS mawr yn oedi tra bod ceisiadau bach yn llwyddo. O dan NAT problem y gwesteiwr yw MTU twnnel y gwesteiwr, ond mae’r gwestai yn dal i gredu mewn 1500, ac mae UDP gyda’r did peidio â darnio wedi’i osod yn disgyn i’r un twll du.

Ysgrifennwch y modd, yna ailwirio ar ôl unrhyw newid addasydd

Cofnodwch y modd, rhyngwyneb y gwesteiwr y mae’r bont yn ei ddefnyddio, porth mynediad diofyn y gwestai, ei ddatryswr, a’i gyfeiriadau allanfa v4 a v6. Y cofnod hwnnw sy’n gwneud y methiant nesaf yn rhad: pan fydd gliniadur yn symud o’r doc i Wi-Fi, mae gwestai pontiedig yn dilyn y bont i addasydd ffisegol gwahanol ac efallai’n ail-lesu i isrwydwaith arall, tra bod gwestai NAT yn cadw ei gyfeiriad 10.0.2.x ac yn etifeddu cyswllt gwahanol yn dawel.

Cyn cau’r tocyn, cadarnhewch bob un o’r rhain:

• Mae cyfeiriad allanfa’r gwestai yn wahanol i gyfeiriad allanfa’r gwesteiwr, felly nid yw ar dwnnel y gwesteiwr.
• Y datryswr yw’r dirprwy 10.0.2.3 neu weinydd LAN, a gwyddoch pa un a atebodd.
• Nid oes cyfeiriad v6 byd-eang yn y gwestai os mai dim ond v4 yw dyluniad y twnnel.
• Gyda thwnnel y gwesteiwr i lawr, mae’r gwestai yn stopio pori, neu rydych bellach yn gwybod na fu erioed yn dibynnu arno.
• Nid yw’r gwestai yn gweld traffig darlledu LAN nad oes ganddo fusnes ei weld.