Trácht VM ar an líonra host-only a ródú trí fhreastalaí TUN OpenVPN

Cruthaíonn oiriúnaitheoirí host-only líonra fíorúil áitiúil, agus iompraíonn tolláin TUN ródaithe paicéid IP idir seoltaí. Ní droichead ceann acu chuig an gceann eile, agus mar sin caithfidh cumraíocht a oibríonn a rá cé a sheolann ar aghaidh agus cé leis a bhfuil an bealach fillte. Má mhearbhaítear an dá shannadh sin, freagraíonn an t-aoi an tollán le foinse nár iarr cliant an tolláin riamh. Coinníonn an dearadh thíos an dá réimír ar leithligh agus déanann sé an bealach fillte follasach.

Dhá líonra, dhá réimír

Tabhair réimírí éagsúla do linn an tolláin agus don líonra host-only agus ná húsáid ceann ar son an chinn eile riamh. San sampla seo is é 10.44.0.0/24 linn an VPN agus is é 192.168.99.0/24 an líonra host-only, leis an óstach ag 192.168.99.1 agus aoi ag 192.168.99.20. Ní nascann sé an réimír chéanna a shannadh do ghléas TUN agus don oiriúnaitheoir host-only araon. Cruthaíonn sé dhá éileamh ar raon seoltaí amháin, agus freagraíonn an tábla ródaithe ansin don éileamh a choinnigh sé trí sheans.

Tá an t-oiriúnaitheoir host-only ar an óstach agus taobh istigh den aoi, agus níl aon bhealach aige amach as an meaisín as féin. Tá nochtadh difriúil ag nascanna droichid agus NAT, agus ní riachtanas é aistriú go mód droichid chun seirbhís amháin aoi a shroicheadh.

Tá an bealach ag an óstach cheana féin

Féach cad atá ann sula gcuireann tú aon rud leis. Tá comhéadan ag an óstach ar an líonra host-only agus ród don réimír sin, an dá rud cruthaithe nuair a tháinig an t-oiriúnaitheoir aníos.

ip -br addr show
ip route show 192.168.99.0/24
sysctl net.ipv4.ip_forward

Is é an tríú líne an mheicníocht a dhéanann hop den óstach. Gan í, seoltaítear paicéad a thagann ón tollán chuig líonra ar féidir leis an óstach rochtain a fháil air ach nach seolfaidh sé ar aghaidh chuige. Tá seoladh ar aghaidh riachtanach agus ní leor é. Socraíonn an pholasaí scagacháin fós an bhfuil sreabhadh áirithe idir comhéadan an tolláin agus an comhéadan host-only ceadaithe, agus baineann an cinneadh sin le bheith scríofa seachas i bpolasaí réamhshocraithe nár léigh éinne.

Brúigh an ród, ansin scag an rud a shroicheann sé

Is féidir leis an bhfreastalaí an réimír host-only a sholáthar do chliaint a ghlacann róid bhrúite, arb é an mheicníocht chéanna é agus a úsáidtear d'aon fholíonra eile taobh thiar den tollán.

push "route 192.168.99.0 255.255.255.0"
iptables -A FORWARD -i tun0 -o vboxnet0 -d 192.168.99.20 -p tcp --dport 5432 -j ACCEPT
iptables -A FORWARD -i vboxnet0 -o tun0 -s 192.168.99.20 -p tcp --sport 5432 -m conntrack --ctstate ESTABLISHED -j ACCEPT

Ceadaíonn an dá riail sin seirbhís amháin i dtreo amháin agus a freagraí. Is meascán d’aon ghnó é ród a shroicheann an réimír iomlán agus scagaire a cheadaíonn port amháin; is é ród móide glacadh gan choinníoll an bealach a n-éiríonn seirbhís saotharlainne ina seirbhís nochtaithe. Ní údarú é ród bhrúite ach an oiread. Glacann an cliant leis, seolann an t-óstach ar aghaidh é, agus tá vóta fós ag balla dóiteáin an aoi agus ag an tseirbhís féin.

Tá bealach fillte de dhíth ar an aoi

Caithfidh aoi a shroichtear ó 10.44.0.x a fhreagraí a sheoladh chuig seoladh host-only an óstaigh, nó caithfidh an t-óstach an fhoinse a aistriú. Ní deir fáil seolta ó DHCP VirtualBox aon rud faoi cheachtar den dá shocrú.

ip route add 10.44.0.0/24 via 192.168.99.1 dev enp0s8
ip route get 10.44.0.15

Coinníonn cur leis an ród sin taobh istigh den aoi an fhoinse bhunaidh, rud a choinníonn polasaí agus logaí in aghaidh an chliaint bríoch. Is é aistriú foinse teoranta ar an óstach an rogha eile, agus oibríonn sé, ar chostas a cheilt cé a nasc. Is é an forluí an mód teipe eile. Léifidh cliant cianda a bhfuil 192.168.99.0/24 ina LAN baile aige cheana an ród brúite mar a líonra féin, agus ní réitíonn aon athrú ar thaobh an fhreastalaí an débhrí sin. Ath-uimhir taobh amháin nó roghnaigh réimír nach dócha go mbuailfidh sí.

Iompraíonn gléas TUN paicéid IP, mar sin ní chasann cur le geata réamhshocraithe taobh istigh den aoi an tollán ina dheighilt Ethernet leis an oiriúnaitheoir host-only. Is dearadh difriúil é droichead TAP lena thacaíocht cliant agus a úinéireacht seoltaí féin, agus críochnaíonn meascadh an dá chur síos le cumraíochtaí nach dtagann le chéile choíche.

Fíoraigh, ansin déan é a mhaireann athghlacadh

Tástáil seirbhís amháin neamhdhíobhálach ó ghnáthchliant cianda, seiceáil bealach fillte an aoi, agus deimhnigh go ndiúltaítear do sheirbhís nár cheadaigh tú seachas í a bheith mall.

ss -lntp '( sport = :5432 )'
conntrack -L | grep 192.168.99.20

Ansin atosaigh seirbhís VPN agus líonrú an mheaisín fhíorúil, agus déan an triú seiceáil chéanna arís. Maireann ród a cuireadh leis de láimh go dtí an chéad atosú eile, agus ní dearadh é cumraíocht nach n-oibríonn ach i seisiún te. Scríobh an dá réimír, an pholasaí seoladh ar aghaidh agus ród an aoi le chéile. Beidh an triú cuid ag teastáil ón té a chuireann an chéad mheaisín fíorúil eile leis, agus murach sin athaimseoidh sé iad ceangal teipthe i ndiaidh a chéile.