VirtualBox NAT edo zubia: non amaitzen den VMaren VPNa

Bi galdera desberdin batera iristen dira makina birtual batek VPN bezero bat exekutatzen duen bakoitzean, eta erantzun desberdinak dituzte. Lehenengoa gonbidatuaren barruko tunel batek ostalaria babesten duen ala ez da, eta bigarrena ostalariaren tunel batek gonbidatua estaltzen duen ala ez. Egokitzailearen moduak biak erabakitzen ditu, VPN softwareak berak baino gehiago. NAT egokitzaile batek ostalaria mutur ikusgai bihurtzen du, eta zubi egokitzaile batek gonbidatua bere helbide propioarekin jartzen du sarean.

Nork amaitzen du benetan saio zifratua

Saio zifratu bat hura amaitzen duen makinarena da, eta gonbidatua da hori bezeroa VMaren barruan exekutatzen denean. Tunel horretatik gonbidatuaren egokitzaile birtualean sartzen den trafikoa baino ez da pasatzen, eta hiperbisoreak ez du inoiz beste makina bat gonbidatuaren bidez bideratzen bere kabuz. Horregatik gonbidatuak tunel funtzionala eduki dezake ostalaria sare irekian nabigatzen ari den bitartean. Alderantzizkoa ez da simetrikoa, eta asimetria hori da gida gehienek oker ulertzen duten zatia.

Sare kanpokoak zein helbide ikusten duen da egokitzailearen moduak erantzuten duen galdera. Hori argituta, estaldura ez da politika kontu bat gehiago eta mekaniko bihurtzen da. Beheko guztia bi gertaera horietatik dator.

NAT-ak gonbidatua berridazten du ostalariaren itxura izan arte

NAT-arekin, hiperbisoreak gonbidatuaren pakete bakoitza ostalariaren helbidera berridazten du lehen kommutazailera iritsi aurretik. Gero, trafiko hori ostalariaren sare pilari ematen zaio, eta hantxe jarraitzen du haren bideratze taulari, ostalarian dagoen tunel baten jabetzako defektuzko bide bat barne. Beraz, NAT gonbidatu bat ostalariaren tunel batek estaltzen du inolako konfiguraziorik gabe, eta hori gonbidatutik ostalarirako kasuak iradokitzen duenaren kontrakoa da.

# on the host: adapter mode and NAT DNS behaviour
VBoxManage showvminfo "lab-vm" | grep -i -E "nic|nat"
VBoxManage modifyvm "lab-vm" --natdnshostresolver1 on

Bere bezeroa exekutatzen duen gonbidatu batek tunel hori gonbidatuaren barruan amaitzen du, eta trafiko zifratua berridazketa beretik irteten da gero, beraz ostalariaren aplikazioek beren bidea eta beren irteera helbidea gordetzen dituzte. VirtualBox-ek izen ebazpena ere badu modu honetan, gonbidatuaren kontsultak bere motorretik pasatuz --natdnshostresolver1 gaituta ez badago. Hura gaitzeak gonbidatuaren bilaketak ostalariaren ebaztaileari ematen dizkio, eta horrek ebazpena zuzentzen du ostalariaren ikuspegi propioa zuzena denean eta era berean tunel baten barruan bakarrik egon daitekeen ebaztaile bat ematen du. VM-a itzalita egon behar da ezarpena aldatu aurretik, eta ezarpena egokitzailearena da, ez gonbidatuaren softwarearena.

Zubiak gonbidatuari bere maizter eta bere agerpen propioak ematen dizkio

Zubiak gonbidatuaren markoak segmentu fisikora pasatzen ditu, beraz DHCP-k maizter bat ematen dio eta sareak ostalari bereizi gisa tratatzen du. Zubidun gonbidatu bakoitzak tunel independente bat eduki dezake bere defektuzko bide propioarekin, eta ostalariaren taula ez da inoiz aldatzen. Prezioa agerpena da: gonbidatuak emisioei erantzuten die, auzokide tauletan agertzen da, eta kommutadorearen portu segurtasunaren eta haririk gabeko bezeroen isolamenduaren menpe geratzen da. Ostalariaren tunel batek ere ez du eraketa hau estaltzen, gonbidatuaren markoak inoiz ez baitira ostalariaren piletik pasatzen.

NAT kasuarekiko desberdintasun hori argi esatea merezi du, inplikazio gisa uztearen ordez. Zubidun gonbidatu batek bere bezeroa eta bere kredentzialak behar ditu bere trafikoak tunel bat erabili behar duen bakoitzean. Gonbidatuak sare lokalarentzat ikusezin egon behar duenean, NAT-a edo barneko sare soil bat bideratze kontrolatuarekin da diseinu hobea.

Zergatik ezin duen gonbidatuak ostalariaren ate bihurtu

Gonbidatu baten tunela ostalariari malgatzeak ez du etengailu onarturik bi hiperbisore nagusietan. Ostalariak ez du gonbidatuaren tunelera biderik eta hara seinalatzen duen itzulpen erregelarik, beraz gonbidatuaren eta ostalariaren trafikoak jabe desberdineko fluxu bereiziak izaten jarraitzen dute. Norabide horrek huts egiten du egokitzailearen modua edozein dela ere.

Ordezko bideragarriak birbideratzeak eta proxyak dira. SSH birbideratze lokal batek ostalariari bere loopbackera konektatzeko aukera ematen dio gonbidatuak korrontea tunelera eramaten duen bitartean, eta horrek TCP zerbitzuak estaltzen ditu bigarren bezero bat instalatu gabe. Ostalariaren IP trafikoari berari gonbidatuaren tunela erabiltzea emateak, ordea, gonbidatuaren barruan bideratzaile bat behar du, gehi ostalarian bide esplizitu bat eta itzulpena ostalarian. Hori sare diseinu txiki bat da, eta ez kontrol-lauki bat, eta itzulerako bidearen plan bat behar du. Gonbidatua bezeroa exekutatzeko soilik badago, jarri bezeroa ostalarian eta ezabatu jauzi gehigarria.

ssh -N -f -L 8080:internal-host.example:80 user@lab-vm

Ebaztaileak eta bideak ez dute muga zeharkatzen

DNS-k aukera jaso zuen egokitzaileari jarraitzen dio, beraz gonbidatuak ez du ostalariaren tunelaren ebaztailea heredatzen eta ostalariak ez du inoiz gonbidatuari bultzatutako zerbitzaria ezagutzen. Bultzatutako dhcp-option DNS balioak onartu zituen interfazearentzat balio dute, eta horregatik zubidun gonbidatu batek bezerorik gabe ezin ditu barne izenak ebatzi. NAT gonbidatu batek hiperbisorearen DNS kudeaketa erabiltzen du normalean, eta aldea ingurune bakoitzeko komando bakar batean ikusten da.

# on the host
VBoxManage showvminfo "lab-vm" | grep -i -E "nic|nat"
# inside a Linux guest
ip -4 route
resolvectl status
# inside a Windows guest
Get-DnsClientServerAddress

Irakurri ebaztailea eta bidea gonbidatuaren barruan, bietako edozein ostalariari jarraitzen diola suposatu aurretik. Gehitu tunelaren ebaztailea gonbidatuaren egokitzaile propioari barne izenak han ebatzi behar direnean, eta egiaztatu gero tunelaren atzean soilik existitzen den izen batekin. Idatzi VM bakoitzeko egokitzailearen modua, tunelaren jabea eta ebaztailearen iturria, hiru gertaera horiek ia edozein galdera berantiarri erantzuten baitiote. Beste hiperbisore batzuek moduen izena aldatzen dute eta printzipioa ukituta uzten dute.