VPN-a ostalarian edo VM barruan exekutatu? Erabakiaren gida

Gonbidatuaren barruan tunela eraikitzeak eta ostalarian eraikitzeak biak aldatzen dute nabigatzaileak jakinarazten duen helbidea, eta hor amaitzen da antzekotasuna. Gonbidatuaren jabetzako tunelak bere gakoak, bere bide lehenetsia eta bere ebazlea gonbidatuaren nukleoaren barruan gordetzen ditu, ostalariak pakete zifratuak urruneko helbide bakar batera birbidaltzen dituen bitartean. Ostalariaren jabetzako tunela ispilu-irudia da: ostalariaren bezeroak saioa mantentzen du eta bideak eta politika aplikatzen ditu, eta gonbidatuak ateratzen dena maileguan hartzen du. Jabe okerra hautatuta, geroagoko sintoma bakoitzak makina okerrean jarriko zaitu. Bi komandok minutu batean erabakitzen dute galdera, eta gida honen gainerakoa erantzunarekin zer egin da.

Erabaki jabea bezeroari ukitu aurretik

Araua testu zifratua non sortzen den da kontua, ez zein makinak VPN ikonoa erakusten duen. Gonbidatuak sortzen badu, gonbidatuak VPN zerbitzarirako bide erabilgarria behar du eta ezer gehiago ostalariagandik. Ostalariak sortzen badu, gonbidatuak ostalariaren bideak ostalariaren bezeroak tokiko trafikoari ezartzen dion edozein politikari eustea behar du.

Hiru galdek hautatzen dute normalean kokapena zuretzat. Gonbidatuaren trafikoak ostalarian dagoen enpresa bezero bat gainditu behar du? Orduan tunela gonbidatuaren barruan dago. Hainbat gonbidatuk kredentzial bat eta irteera helbide bat behar dute? Orduan ostalarian dago, birbidaltzea nahita konfiguratuta. Gonbidatuaren trafikoak ostalariaren VPN-tik guztiz kanpo egon behar du? Orduan gonbidatuko tunela da hori eraikuntzaz ematen dion antolamendu bakarra.

Idatzi erantzuna lerro batean VM izenaren ondoan: guest-owned edo host-owned. Sei makinako laborategi batean ohar horrek beheko edozein urrats baino denbora gehiago aurrezten du, saioa hasi zaren makinaren inoiz egon ez den tunel bat diagnostikatzea eragozten dizulako.

WSL1 eta WSL2 kontrako bi kasu dira

WSL1 ez da makina birtuala, beraz kokapenaren galdera gehienetan lurruntzen da. Bere Linux binarioak Windowsen sare-pilaren aurka exekutatzen dira itzulpen geruza baten bidez, eta Linux VPN bezero batek ez du konfiguratzeko interfaze independenterik. Funtzionatzen duen antolamendua Windows aldeko tunela da, banaketak emaitza ezer ez duelarik erabiltzen duela.

WSL2 alderantzizkoa da. Benetako nukleo bat exekutatzen du Hyper-V kommutadore birtual baten atzean dagoen VM osagarri arin batean, eta bere helbide-eremua NAT bidez itzultzen da ostalari aldeko egokigailu baten bidez. Beraz, banaketaren barruko Linux bezero bat Linux makina fisiko batean bezala portatzen da: tun0 edo wg0 sortzen du, bere bideak instalatzen ditu eta funtzionatzen du. Hutsegitea ostalari aldean bizi da. Windows VPN bezero bat sare lokaletako trafikoa blokeatzen duen politikarekin konektatzen denean, WSL2 azpisarea sare lokal ez-fidagritzat hartzen du eta NAT bidea mozten du. Orduan banaketak DNS eta irteera sarbidea galtzen ditu, bere tunela oraindik osasuntsu dagoen bitartean: wg show elkar-esku emate bat jakinarazten du, ip route zuzena dirudi eta curl zintzilik geratzen da.

Zein konponketa erabil dezakezun Windows-en bertsioaren araberakoa da. Zaharragoa ostalariaren bezeroan WSL azpisarerako salbuespen bat da, bezeroaren sare lokal edo tunel zatituaren ezarpenetan gehituta. Berriagoa, onartzen duten Windows 11 bertsioetan, ispilu-sarea da: jarri networkingMode=mirrored %UserProfile%\.wslconfig fitxategiaren [wsl2] atalean, exekutatu wsl --shutdown, eta banaketak ostalariaren interfazeak partekatuko ditu NAT azpisare pribatu baten ordez. Ispilu moduak localhost-aren eta sarrerako portuen portaera ere aldatzen du, beraz tratatu migrazio gisa eta ez etengailu gisa.

NAT, zubia eta ostalariak zer ikus dezakeen

NAT-aren pean, gonbidatuaren tunel paketeak VPN zerbitzariaren helbide publikora zuzentzen dira eta ostalariaren egokigailutik irteten dira UDP edo TCP zifratu gisa. Ostalariak fluxu bat eta haren byte-kontua ikusten ditu, barruko helmugei buruz ezer ez. Zubi egokigailu baten pean gonbidatuak bere 2-geruzako identitatea du LAN fisikoan, bere DHCP maizteraldia hartzen du, eta MAC-en oinarritutako edozein politikarentzat bigarren gailu bat dirudi. Bi moduetako batek ere ez dio ostalariari tunelaren karga irakurtzen uzten; zubitutako gonbidatua inguruko sarearentzat askoz ikusgarriagoa da besterik gabe.

Isolamenduak beheko muga bat ere badu. Gonbidatu bat ezin da ezkutatu bere memoria duen makinatik, eta ostalaria kontrolatzen duenak gonbidatuaren RAM-etik gakoak irakur ditzake. Gonbidatuko tunel batek ematen dizuna bideratze-muga bat eta malware-muga bat da, ez ordenagailu eramangarria duen pertsonaren aurkako babesa. Merezi du dokumentatutako egokigailu moduak irekita edukitzea hautatzen duzun bitartean, moduak ostalariak ikusten duena eta LANak ikusten duena ere aldatzen baititu.

Gida: kokatu, konfiguratu, frogatu

Exekutatu lau egiaztapen hauek hurrenez hurren gonbidatuaren shell berri batean, eta gelditu idatzi duzun jabearekin bat ez datorren lehenengoan.

1. ip route get 1.1.1.1 tun0 edo wg0 itzultzeak gonbidatuaren jabetza esan nahi du, eta eth0 hurrengo jauzi pribatu batekin ostalariaren jabetza.
2. resolvectl query example.com, edo irakurri /etc/resolv.conf gonbidatuak ebazle zerbitzurik exekutatzen ez duen lekuan. Trafikoa eramaten duen baina DNS ez duen tunel bat da erdi konfiguratuta egoteko egoera ohikoena.
3. Konparatu irteerak: curl -4 -s https://ifconfig.me gonbidatuan eta curl.exe -4 -s https://ifconfig.me ostalarian. Helbide desberdinek gonbidatuak tunela duela esan nahi dute, eta VPN-an dagoen ostalari batek etxeko ISP erakusten duen gonbidatu batekin inor oinordetzan hartu ez zen kasua da.
4. Errepikatu biak -6 erabiliz. v4 soilik tunel batek v6 ihes egiten du bezeroak blokeatu edo bideratu ezean, eta bezero askok v6 interfaze fisikoan uzten dute lehenespenez.

Ostalariaren atebidearen diseinurako, hainbat gonbidatuk tunel bat partekatzen dutenean, ostalariak birbidali eta itzuli behar du. Linux ostalari batean hiru pieza dira, eta gonbidatua isilean itzultzen da bere bide arruntera horietako bat falta denean:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o wg0 -j MASQUERADE
iptables -A FORWARD -i virbr0 -o wg0 -j ACCEPT
iptables -A FORWARD -i wg0 -o virbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT

WireGuard aldean, ostalariaren parekoaren AllowedIPs-ek gonbidatuen azpisarea barne hartu behar du, adibidez 192.168.122.0/24, bestela itzulerako paketeak ez dira inoiz iristen eta konfigurazioak suebaki arazoa dirudi. Windows ostalari batek emaitza bera lortzen du Internet Connection Sharing edo Hyper-V kommutadoreko NAT arau batekin, eta itzulera-bidearen egiaztapen bera behar du.

Diseinua oraindik irekita dagoenean, taula honek antolamendu ohikoenak hartzen ditu:

Bi tunel, bi gonbidatu eta haien arteko gatazkak

Aldi berean bi irteera behar dituzunean, eusten duen eredua tunel bat da gonbidatu bakoitzeko. VM bakoitzak bere bide lehenetsia eta ebazlea mantentzen ditu, ostalaria sare arruntean geratzen da, eta bi tunelak ez dira inoiz bideratze-taularen beraren aldean haserretzen. Bi gonbidatu zubiz elkartzeak ere ez ditu haien bideak elkartzen: sare birtualak bide bat ematen du, eta bezero bakoitzari oraindik esan behar zaio tokiko trafiko horrek tunela saihestu dezakeela.

Ostalariaren tunel bat eta gonbidatuaren tunel bat elkarrekin exekutatzea zilegi da, eta nahita habiaratzea batzuetan zehazki nahi duzuna da, gonbidatua bere tuneletatik irteten delarik eta tunel hori ostalariarenaretik. Hori eten bihurtzen duena da inork ez duela idatzi zein amaiera-puntu zein geruzatatik iritsi behar den. Mantendu bi zutabeko zerrenda bat helmuga eta jabearekin, eta bide gatazka bat aurkikuntza arratsalde baten ordez kontsulta bihurtzen da.

Egiaztatu, eta ondoren utzi berreskuratzea jabeari

Probatu gonbidatuaren barrutik aplikazio prozesu berri batekin: trafikoa, izenen ebazpena, bi helbide familiak eta zer gertatzen den tunela erortzen denean. Ostalariaren VPN ikonoak ez du ezer esaten gonbidatuaren estaldurari buruz, eta hori da arlo honetan guztian berretsi faltsurik ohikoena.

Berreskuratzea ere jabeari dagokio. Gonbidatuaren jabetzako tunela gonbidatuaren beraren bezeroak eta idatzi zituen bideek leheneratzen dute. Ostalariaren jabetzako diseinua ostalariaren abiarazte-sekuentziak leheneratzen du, eta birbidaltze arauek ez dute berrabiaraztea gainditzen unitate batek edo hasierako zeregin batek berriro aplikatzen ez baditu. Leheneratutako snapshot bat inplementazioa da, ez desegitea, diskoarekin batera kredentzial zaharrak eta bide zaharrak ekartzen baititu. Lana amaitutzat eman aurretik, egiaztatu jabeak oraindik idatzi duzun lerroarekin bat egiten duela, DNS eta bi helbide familiak gonbidatuaren barruan ebazten direla, tunel hil batek sare erabilgarria uzten duela zulo beltz baten ordez, eta berrabiarazteak edo snapshot leheneratzeak egoera bera erreproduzitzen duela.