NAT nó líonra VM droichid: cé acu a iompraíonn trácht VPN?

Ní dhá bhealach iad an droichead agus NAT chun an t-aíonna céanna a cheangal le do VPN; socraíonn siad cé leis na paicéid an aíonna sula mbíonn aon tollán i gceist. I mód NAT, athscríobhann an hipiríogaire trácht an aíonna agus seolann sé amach é ó chód ar thaobh an óstaigh, mar sin téann an t-aíonna ar an mbealach a thugann an t-óstach don chód sin. I mód droichid, faigheann an t-aíonna a chéannacht féin ar an gciseal naisc sa deighleog fhisiciúil agus roghnaíonn sé a gheata réamhshocraithe féin, rud a fhágann tollán an óstaigh gan ábharthacht dó, murab é ródaire an LAN an ceann atá ag déanamh an tollánú. Stop mé de bheith ag féachaint ar an VM mar rud atá ar an VPN agus thosaigh mé ag féachaint air mar cheist faoi cá léiríonn bealach réamhshocraithe an aíonna sin. Tógann an tástáil thíos cúpla nóiméad in aghaidh an mhóid agus réitíonn sé gan buille faoi thuairim.

Coinníonn NAT an t-aíonna taobh thiar de chód an hipiríogaire, áit a bhfuil bealaí an óstaigh i bhfeidhm

I VirtualBox suíonn aíonna NAT ar 10.0.2.0/24 le geata fíorúil ag 10.0.2.2, seachfhreastalaí DNS ag 10.0.2.3, agus gan aon bhealach féin chuig an líonra fisiciúil. Tógann inneall NAT na paicéid amach, athscríobhann sé iad ionas gurb é an t-óstach an fhoinse, agus cuireann sé chuig cruach IP an óstaigh iad. As sin is sruth óstaigh é trácht an aíonna, agus déantar cuardach bealaigh de réir cinn scríbe: gabhann cliant tolláin iomláin a shuiteálann 0.0.0.0/1 agus 128.0.0.0/1 ar an óstach é gan a fhios a bheith aige riamh go bhfuil VM ann. Liostaíonn caibidil Oracle ar líonrú VirtualBox na réamhshocruithe seo má theastaíonn uait na seoltaí a dhearbhú i do thógáil.

Sroicheann líonra réamhshocraithe libvirt an áit chéanna ó 192.168.122.0/24, áit a ndáileann dnsmasq léasanna agus a ndéanann an t-óstach masc ar an bhfo-líonra, mar sin tagann paicéid an aíonna chuig cinneadh bealaigh an óstaigh arís. Is é an eisceacht cliant a roghnaíonn trácht de réir próisis seachas de réir bealaigh. Má tá do bhrabhsálaí amháin ar liosta an tolláin scoilte agus rud ar bith eile, níl inneall NAT ar an liosta sin, agus fágann an t-aíonna an meaisín gan tollán agus an brabhsálaí ar an óstach fós cosúil le clúdach. An fho-líonra céanna, an toradh os coinne.

Tugann droichead a áit féin ar an LAN fisiciúil don aíonna

Tugtar cárta líonra fíorúil do aíonna droichid atá ceangailte le hadaptóir fíor, faigheann sé a sheoladh MAC féin agus tógann sé léas DHCP ón líonra fisiciúil. Is é ródaire an LAN a gheata réamhshocraithe, ní an hipiríogaire, agus téann a fhrámaí amach ar an sreang tríd an adaptóir sin. Maireann bealaí tolláin an óstaigh i dtábla an óstaigh agus ní chuirtear ceist orthu riamh, mar ní thagann frámaí an aíonna isteach i gcruach IP an óstaigh riamh.

Gearrann sé sin an dá bhealach. Tosaíonn mDNS agus brabhsáil SMB ag obair toisc go bhfeiceann an t-aíonna trácht craolta an LAN, agus bíonn an t-aíonna inrochtana ó mheaisíní eile sa deighleog chéanna gan balla dóiteáin óstaigh eatarthu. Ní bealach é an droichead chun aíonna a bhrú trí thollán atá ann cheana féin ach an oiread: ní rud é VM a cheangal le comhéadan WireGuard nó OpenVPN an óstaigh a dhéanfadh VirtualBox nó libvirt ar do shon. Má chaithfear aíonna droichid a thollánú, caithfidh an tollán críochnú áit éigin ar an LAN sin.

An tástáil a chuireann deireadh leis an argóint

Rith na seiceálacha céanna sa dá mhód agus scríobh síos na freagraí:

• Ar an óstach, tugann curl -s https://ifconfig.me an seoladh v4 poiblí.
• San aíonna, an t-ordú céanna, móide ip route ar Linux nó Get-NetRoute -DestinationPrefix 0.0.0.0/0 ar Windows don gheata réamhshocraithe.
• Céannacht an réitigh: resolvectl status nó cat /etc/resolv.conf san aíonna, le feiceáil an léiríonn sé 10.0.2.3 nó freastalaí LAN.
• Teaghlach seoladh: ip -6 addr show scope global agus iarratas v6 amháin, mar ní deir tollán v4 aon rud faoi sheoladh v6 domhanda a d'fhéadfadh a bheith ag an aíonna.

Ciallaíonn seoltaí poiblí comhoiriúnacha go bhfuil an t-aíonna ar chonair an óstaigh. Ciallaíonn seoladh aíonna a mheaitseálann gnáth-eisíoc an LAN nach bhfuil. Is é an chéim a scipeann daoine an rialtán: tarraing síos tollán an óstaigh agus déan iarratas an aíonna arís. Má leanann an t-aíonna ag brabhsáil, ní raibh sé ag brath ar thollán an óstaigh riamh, cibé rud a thugann ainm an mhóid le tuiscint. I mód NAT ba cheart don aíonna an t-idirlíon a chailleadh le tollán an óstaigh síos, mura bhfuil an cliant cumraithe chun trácht gan tollán a cheadú, rud is fiú a bheith ar eolas ann féin.

Déanann dhá chomhartha bréag. Cruthaíonn ping rathúil inrochtaineacht, ní conair eisíoc. Agus is féidir DNS a fhreagairt ón seachfhreastalaí 10.0.2.3 trí réiteach an óstaigh agus TCP ag glacadh bealaigh eile, agus sin mar a fhaigheann tú leathanach a lódálann agus logáil isteach nach gcríochnaíonn riamh.

Cén mód a oireann don obair

Is cinneadh bealaigh é an mód, mar sin roghnaigh é de réir an riachtanais seachas de réir cleachtais:

Is í an chéad líne an áit a mbíonn daoine sáinnithe: clúdaíonn NAT móide cliant óstaigh tolláin iomláin aíonna, ach amháin fad a dhéanann an cliant tollánú de réir bealaigh agus gurb é nasc uachtarach an óstaigh an tollán sin. Bog an cliant chuig liosta ceadaithe don bhrabhsálaí amháin agus imíonn an clúdach gan aon earráid in aon áit. Is é an ceathrú líne an earráid droim ar ais: aíonna a cuireadh ar droichead mar áis agus a thosaíonn go ciúin ag freagairt SMB nó SSH ar LAN na hoifige.

Cliseadh a chuirtear i leith an VPN

Ar Windows ritheann an t-aistriúchán NAT laistigh de phróiseas VM VirtualBox, mar sin teastaíonn an íomhá chruinn sin ó chliant in aghaidh an aip ar a liosta seachas riail ghinearálta do mheaisíní fíorúla. Nuair a atógann nuashonrú cliaint a liosta próiseas, cailleann aíonna NAT an clúdach ar dtús, agus léitear an tuarascáil mar VM a shroicheann an LAN ach nach sroicheann an t-idirlíon agus an t-óstach i gceart.

Is é an droichead chuig Wi-Fi an ceann clasaiceach eile. Is annamh a sheolann pointí rochtana frámaí le MAC foinse eachtrannach, mar sin teipeann go hiomlán ar dhroichead chuig wlan0 nó oibríonn sé go dtí go dtosaíonn leithlisiú cliant ar an AP á scaoileadh. Tairgfidh VirtualBox an t-adaptóir gan sreang fós ar a liosta. Má tá an t-óstach ar Wi-Fi agus má chaithfear an t-aíonna a dhroicheadú, pleanáil é a thástáil seachas a ghlacadh leis.

Is é MTU an tríú ceann. Coinníonn aíonna droichid MTU 1500 beart an LAN, agus má ritheann sé a chliant WireGuard féin ag 1420, stopann croithlámha móra TLS agus éiríonn le hiarratais bheaga. Faoi NAT is fadhb an óstaigh é MTU thollán an óstaigh, ach creideann an t-aíonna i 1500 fós, agus imíonn UDP leis an mbeart don't-fragment socraithe ar an mbealach céanna.

Scríobh an mód síos agus seiceáil arís tar éis gach athrú adaptóra

Scríobh síos an mód, an comhéadan óstaigh a úsáideann an droichead, geata réamhshocraithe an aíonna, a réiteach agus a sheoltaí eisíoc v4 agus v6. Is é an taifead sin a dhéanann an chéad chliseadh eile saor: nuair a bhogann ríomhaire glúine ón nduga go Wi-Fi, leanann aíonna droichid an droichead chuig adaptóir fisiciúil eile agus féadfaidh sé léas a fháil i bhfo-líonra eile, agus coinníonn aíonna NAT a sheoladh 10.0.2.x agus faigheann sé nasc uachtarach eile go ciúin le hoidhreacht.

Sula ndúnfaidh tú an ticéad, dearbhaigh gach ceann díobh seo:

• Tá seoladh eisíoc an aíonna difriúil ó sheoladh eisíoc an óstaigh, mar sin níl sé ar thollán an óstaigh.
• Is é an réiteach an seachfhreastalaí 10.0.2.3 nó freastalaí LAN, agus tá a fhios agat cé a d'fhreagair.
• Níl aon seoladh v6 domhanda san aíonna má tá dearadh an tolláin v4 amháin.
• Le tollán an óstaigh síos stopann an t-aíonna ag brabhsáil, nó tá a fhios agat anois nach raibh sé ag brath air riamh.
• Ní fheiceann an t-aíonna trácht craolta LAN nach mbaineann leis.