WireGuard LXC batean edo Proxmoxeko VM batean: non exekutatu behar da?

WireGuardek nukleo bakar bat behar du bere interfazearen jabe izateko, eta gertaera horrek Proxmoxeko kokapenari buruzko eztabaidaren zatirik handiena argitzen du errendimendua aretoan sartu aurretik. LXC edukiontzia ostalariaren nukleoaren izen-espazioaren ikuspegia da, eta VM batek bere nukleoa abiarazten du. Beraz, galdera erabilgarria ez da zein aukera den arinena, baizik eta zein nukleo aldatzea onartzen duzun eta zein berreskuratze-bidekin bizi zaitezkeen. Erantzun horri, eta ostalariaren, edukiontziaren edo VM-aren arteko hautua normalean bere kabuz egiten da.

LXC gonbidatu bat ostalariaren nukleoaren barruan lan egiten du

Edukiontzi baten barruan wireguard-tools instalatzeak kontrol-programa ematen dizu, ez nukleo pribaturik. Sortzen duzun wg0 interfazea ostalariaren sare-pilan erregistratzen da eta ostalariaren modulu-zerrendan agertzen da. Horregatik edukiontzi batek pakete-egiaztapen guztiak gainditu eta hala ere huts egin dezake lehen wg aginduan, ostalariaren nukleoari modulua falta zaionean. Eta Proxmox edukiontzien erreferentzia nukleo partekatuaren eredu hori dokumentatzen du, zuk lan egiten duzun izen-espazioaren eta pribilegioen mugekin batera.

Autoritatea da bigarren muga. Interfaze bat altxatzeak eta helbideak eransteak bere jabe den izen-espazioaren barruko sare-administrazio eskubideak behar ditu, eta pribilegiorik gabeko edukiontzi batek eskubide horiek bere erabiltzaile-izen-espazioaren bidez mapatzen ditu, zuzenean edukiko balitu bezala ordez. Ez ezazu inoiz pribilegio osoa lehen erantzun gisa hartu; begiratu edukiontziari benetan zer eskatzen zaion, eta eman hori.

Ostalariaren nukleoa ere mendekotasun partekatua da. Proxmox nukleoaren eguneratze batek WireGuarden inplementazioa edukiontzi guztien azpian aldatzen du aldi berean, eta hori eroso da eguneratze batek eta edukiontzi baten itxaropenek bat ez egiten duten arte.

Ostalaria, edukiontzia, VM-a: zer duen benetan kokapen bakoitzak

Ostalarian kokatzeak VPN-a hiperbisorearen sare propioan jartzen du. Ibilbideak, suebakien arauak eta tunela ostalariaren berreskuratzearen parte bihurtzen dira, eta hango errore batek kudeaketa-interfazea eraman dezake. Hori onargarria da kontsolaren bidez iristen zaren ostalari batean azpiegitura-ibilbideratzerako, eta mingarria kanpoko banda-sarbiderik gabeko urrutiko makina batean.

Edukiontzi batek zerbitzua paketatuta eta berrabiarazgarri mantentzen du, ostalariaren nukleoa maileguan hartzen duen bitartean. Nukleo partekatuko zerbitzu baterako egokia da, eta berreraikitzeko unitate txiki bat ematen dizu. Ez dizu nukleo independenterik ematen, beraz modulu-eraikuntza zehatza behar duen edozehek aukera honetatik urrun seinalatzen du.

VM batek memoria gehiago eta adabakitzeko beste sistema bat kostatzen du, eta trukean tunelek bere nukleoa, bere ibilbide-taula eta bere snapshot muga lortzen ditu. VPN-a aldaketa txar baten ondoren atzera botatzen duzun gauza denean, snapshot horrek gainkarga merezi du.

Zure ordez aukeratzen duten hiru baldintza

Tunelak Proxmox ostalariak ematen ez duen nukleo-bertsio edo WireGuard funtzio bat behar badu, gelditu hemen eta erabili VM bat. Ezin duzu nukleo berriago bat edukiontzi batean instalatu, eta ez zenuke hiperbisorearen nukleoa ordezkatu behar gonbidatu bakarra asetzeko.

Tunela gunearen atea bada LAN prefijo errealetarako, galdetu nor den jada itzulera-ibilbidearen jabe. Edukiontzi batek trafikoa ibilbidera dezake, baina bere interfazeak ostalariaren pilan esertzen dira, beraz ostalariak konfigurazioaren zati bat eramaten du azkenean, hori planifikatu ala ez. Ostalarian kokatzea zintzoa da horretan; edukiontzian kokatzea askotan ez.

Ondoren pisatu errore baten eragin-erradioa. Edukiontzi bat berrabiaraztea merkea da, VM snapshot bat leheneratzea aurreikustekoa, eta ostalariaren sare konpontzeak sarbide fisikoa edo kontsola bidezkoa behar izaten du. Aukera zuzena da hondamendi handiena gertatzen den orduan benetan berreskura dezakezuna.

Laugarren galdera gutxitan da erabakigarria, baina merezi du aipatzea: behar du ostalarian beste ezerk tunel-interfazea ikustea? Baietz, ostalarian edo edukiontzian kokatzeak ikusgaitasun hori tokian bertan mantentzen du, eta VM batek gonbidatuaren eta ostalariaren artean ibilbideratzera behartzen zaitu.

Frogatu kokapena trafikoa horren bidez bideratu aurretik

Instalatu ondoren, egiaztatu zein nukleo ari den benetan interfazea zerbitzatzen eta edukiontziak nahikoa autoritate jaso duen horri eusteko:

$ pct config 101 | grep -E 'unprivileged|features'
unprivileged: 1
$ pct exec 101 -- wg show
interface: wg0
  listening port: 51820
$ pct exec 101 -- ip -4 addr show wg0
inet 10.60.0.2/24 scope global wg0

Gero egiaztatu birbidaltze-aldea ostalaritik, eskuko agur batek tunela altxatuta dagoela baino ez baitu frogatzen. Erabili ip route get bezeroaren helbide baterako eta egiaztatu hurrengo jauzia eta interfazea diseinuarekin bat datozela, eta itzulera-bidea existitzen dela urrutiko aldean.

Utzi inplementazioa idatzitako jabe batekin: zein nukleok daraman inplementazioa, zein izen-espaziok duen interfazea eta zein prefijo bidal ditzakeen ateak. Esaldi horrek hiru kokapenen edozein erreferentzia-konparaziok baino istilu gehiago saihesten ditu.