An VPN a rith ar an óstach nó taobh istigh den VM? Lámhleabhar cinnte

Athraíonn tollán a thógáil taobh istigh den ghiosta agus é a thógáil ar an óstach araon an seoladh a thuairiscíonn brabhsálaí, agus sin an áit a stopann an chosúlacht. Coinníonn tollán ar leis an ngiosta a eochracha, a bhealach réamhshocraithe agus a réititheoir taobh istigh de eithne an ghiosta, agus seolann an t-óstach paicéid chriptithe chuig aon seoladh cianda amháin. Is íomhá scátháin é tollán ar leis an óstach: coinníonn cliant an óstaigh an seisiún agus cuireann sé bealaí agus polasaí i bhfeidhm, agus faigheann an giosta ar iasacht a thagann amach. Roghnaigh an t-úinéir mícheart agus seolfaidh gach siomptóm ina dhiaidh sin chuig an meaisín mícheart thú. Socraíonn dhá ordú an cheist in aon nóiméad nó mar sin, agus is é an chuid eile den lámhleabhar seo ná cad a dhéanfaidh tú leis an bhfreagra.

Socraigh an t-úinéir sula mbaineann tú leis an gcliant

Baineann an riail le cá háit a dtáirgtear an téacs criptithe, ní le cén meaisín a thaispeánann deilbhín VPN. Má tá an giosta á tháirgeadh, teastaíonn bealach oibre chuig freastalaí an VPN ón ngiosta agus rud ar bith eile ón óstach. Má tá an t-óstach á tháirgeadh, caithfidh bealach an ghiosta tríd an óstach maireachtáil trí aon pholasaí a fhorchuireann cliant an óstaigh ar thrácht áitiúil.

De ghnáth roghnaíonn trí cheist an socrú duit. An gcaithfidh trácht an ghiosta maireachtáil trí chliant corparáideach ar an óstach? Ansin baineann an tollán leis an ngiosta. An dteastaíonn aon dintiúr amháin agus aon seoladh eisithe ó roinnt giostaí? Ansin baineann sé leis an óstach, le seoladh ar aghaidh socraithe d'aon ghnó. An gcaithfidh trácht an ghiosta fanacht go hiomlán lasmuigh de VPN an óstaigh? Ansin is é tollán sa ghiosta an t-aon socrú a thugann sin duit de réir a dhéantúis.

Scríobh an freagra mar aon líne in aice le hainm an VM: guest-owned nó host-owned. I saotharlann de sheisear meaisín sábhálann an nóta sin níos mó ama ná aon chéim thíos, mar stopann sé tú ó bheith ag fabhtcheartú tolláin nach raibh riamh sa mheaisín a bhfuil tú logáilte isteach ann.

Is cásanna urchomhaireacha iad WSL1 agus WSL2

Ní meaisín fíorúil é WSL1, mar sin galántaíonn ceist an tsocraithe den chuid is mó. Ritheann a chuid dénártha Linux in aghaidh stac líonra Windows trí chiseal aistriúcháin, agus níl aon chomhéadain neamhspleácha le cumrú ag cliant VPN Linux. Is é an socrú a oibríonn ná tollán ar thaobh Windows, agus úsáideann an dáileadh an toradh gan aon rud a bheith aige.

Is é WSL2 a mhalairt. Ritheann sé fíoreithne i VM fóntais éadrom taobh thiar de mhalartán fíorúil Hyper-V, agus aistrítear a spás seoltaí le NAT trí oiriúnaitheoir ar thaobh an óstaigh. Dá bhrí sin iompraíonn cliant Linux taobh istigh den dáileadh mar a dhéanfadh sé ar bhosca Linux fisiceach: cruthaíonn sé tun0 nó wg0, suiteálann sé a bhealaí féin, agus oibríonn sé. Tá an teip ina chónaí ar thaobh an óstaigh. Nuair a cheanglaíonn cliant VPN Windows le polasaí a chuireann bac ar thrácht ar líonraí áitiúla, caitheann sé le fo-líonra WSL2 mar líonra áitiúil neamhiontaofa agus gearrann sé an bealach NAT. Ansin cailleann an dáileadh DNS agus rochtain amach agus a thollán féin fós sláintiúil: tuairiscíonn wg show croitheadh láimhe, breathnaíonn ip route ceart, agus crochann curl.

Braitheann sé ar an leagan Windows cén ceartú is féidir leat a úsáid. Is é an ceann is sine eisceacht i gcliant an óstaigh do fho-líonra WSL, a chuirtear leis faoi shocruithe líonra áitiúil nó tolláin scoilte an chliaint. Is é an ceann is nua, ar leaganacha Windows 11 a thacaíonn leis, ná líonrú scátháin: cuir networkingMode=mirrored sa roinn [wsl2] de %UserProfile%\.wslconfig, rith wsl --shutdown, agus roinnfidh an dáileadh comhéadain an óstaigh in ionad fo-líonra NAT príobháideach. Athraíonn mód scátháin freisin conas a iompraíonn localhost agus calafoirt isteach, mar sin caith leis mar imirce seachas mar lasc.

NAT, droichead agus cad a fheiceann an t-óstach

Faoi NAT, seoltar paicéid tolláin an ghiosta chuig seoladh poiblí fhreastalaí an VPN agus fágfaidh siad oiriúnaitheoir an óstaigh mar UDP nó TCP criptithe. Feiceann an t-óstach aon sruth amháin agus a chomhaireamh beart, rud ar bith faoi na cinn scríbe istigh ann. Faoi oiriúnaitheoir droichid tá a chéannacht sraithe 2 féin ag an ngiosta ar an LAN fisiceach, tógann sé a léas DHCP féin, agus breathnaíonn sé d'aon pholasaí atá bunaithe ar MAC mar dhara gléas. Ní ligeann ceachtar den dá mhód don óstach ualach an tolláin a léamh; tá an giosta droichid níos infheicthe don líonra timpeall air, go simplí.

Tá urlár ag an leithlisiú freisin. Ní féidir le giosta éalú ón meaisín a shealbhaíonn a chuimhne, agus is féidir le duine ar bith a rialaíonn an t-óstach eochracha a léamh ó RAM an ghiosta. Is é a thugann tollán sa ghiosta duit ná teorainn ródaithe agus teorainn bogearraí mailíseacha, ní cosaint ar an duine atá ag coinneáil an ríomhaire glúine. Is fiú na móid oiriúnaitheora atá doiciméadaithe a choinneáil oscailte agus tú ag roghnú, mar athraíonn an mód an rud a fheiceann an t-óstach agus an rud a fheiceann an LAN.

Lámhleabhar: socraigh é, cumraigh é, cruthaigh é

Rith na ceithre sheiceáil seo in ord i sliogán giosta úr, agus stop ag an gcéad cheann nach n-aontaíonn leis an úinéir a scríobh tú síos.

1. Ciallaíonn ip route get 1.1.1.1 a thugann tun0 nó wg0 ar ais gur leis an ngiosta é, agus ciallaíonn eth0 le chéad chéim phríobháideach eile gur leis an óstach é.
2. resolvectl query example.com, nó léigh /etc/resolv.conf san áit nach rithfidh an giosta aon tseirbhís réititheora. Is é tollán a iompraíonn trácht ach nach n-iompraíonn DNS an riocht leathchumraithe is coitianta.
3. Cuir na heisiúintí i gcomparáid: curl -4 -s https://ifconfig.me sa ghiosta in aghaidh curl.exe -4 -s https://ifconfig.me ar an óstach. Ciallaíonn seoltaí difriúla go bhfuil an tollán ag an ngiosta, agus is é óstach ar VPN le giosta a thaispeánann ISP an tí an cás inar oidhreadh aon rud.
4. Déan an dá rud arís le -6. Ligeann tollán v4 amháin v6 amach mura gcuireann an cliant bac air nó mura ródann sé é, agus fágann go leor cliant v6 ar an gcomhéadan fisiceach de réir réamhshocraithe.

Do dhearadh geata óstaigh, áit a roinneann roinnt giostaí aon tollán amháin, caithfidh an t-óstach seoladh ar aghaidh agus aistriú. Ar óstach Linux is trí phíosa iad sin, agus titeann an giosta go ciúin ar ais ar a ghnáthbhealach nuair a bhíonn aon cheann acu ar iarraidh:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o wg0 -j MASQUERADE
iptables -A FORWARD -i virbr0 -o wg0 -j ACCEPT
iptables -A FORWARD -i wg0 -o virbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT

Ar thaobh WireGuard, caithfidh AllowedIPs phiara an óstaigh fo-líonra na ngiostaí a áireamh, mar shampla 192.168.122.0/24, nó ní shroichfidh na paicéid fillte riamh agus breathnaíonn an socrú mar fhadhb balla dóiteáin. Sroicheann óstach Windows an toradh céanna le Comhroinnt Nasc Idirlín nó le riail NAT ar mhalartán Hyper-V, agus teastaíonn an tseiceáil chéanna ar an mbealach fillte uaidh.

Nuair atá an leagan amach fós oscailte, clúdaíonn an tábla seo na socruithe is coitianta:

Dhá thollán, dhá ghiosta agus na coimhlintí eatarthu

Nuair a theastaíonn dhá eisiúint uait ag an am céanna, is é an patrún a sheasann ná aon tollán amháin in aghaidh an ghiosta. Coinníonn gach VM a bhealach réamhshocraithe agus a réititheoir féin, fanann an t-óstach ar an ngnáthlíonra, agus ní bhíonn an dá thollán ag argóint riamh faoin tábla ródaithe céanna. Ní chomhcheanglaíonn droichead idir dhá ghiosta a mbealaí ach an oiread: soláthraíonn an líonra fíorúil bealach, agus caithfear a rá le gach cliant fós gur féidir leis an trácht áitiúil seo an tollán a sheachaint.

Is dlisteanach tollán óstaigh agus tollán giosta a rith le chéile, agus uaireanta is é neadú d'aon ghnó go beacht an rud a theastaíonn uait, agus an giosta ag dul amach trína thollán féin agus an tollán sin ag dul amach trí thollán an óstaigh. Is é a dhéanann cíor thuathail de ná nár scríobh éinne síos cén críochphointe ba chóir a shroicheadh trí chiseal. Coinnigh liosta dhá cholún de cheann scríbe agus úinéir, agus éiríonn coimhlint bhealaigh ina chuardach in ionad tráthnóna fionnachtana.

Fíoraigh, agus ansin fág an t-aisghabháil ag an úinéir

Tástáil ó thaobh istigh den ghiosta le próiseas feidhmchláir úr: trácht, réiteach ainmneacha, an dá theaghlach seoltaí, agus cad a tharlaíonn nuair a thiteann an tollán. Ní deir deilbhín VPN an óstaigh rud ar bith faoi chlúdach an ghiosta, agus sin an deimhniú bréagach is coitianta sa réimse seo ar fad.

Baineann an t-aisghabháil leis an úinéir freisin. Déantar tollán ar leis an ngiosta a athchóiriú le cliant an ghiosta féin agus leis na bealaí a scríobh sé. Déantar dearadh ar leis an óstach a athchóiriú le seicheamh tosaithe an óstaigh, agus ní mhaireann na rialacha seolta ar aghaidh aththosú mura gcuireann aonad nó tasc tosaithe i bhfeidhm arís iad. Is imscaradh é íomhá láithreach athchóirithe, ní cealú, mar tugann sé seandintiúir agus seanbhealaí ar ais leis an diosca. Sula nglacann tú leis an obair a bheith déanta, deimhnigh go gcomhfhreagraíonn an t-úinéir fós don líne a scríobh tú, go réitítear DNS agus an dá theaghlach seoltaí taobh istigh den ghiosta, go bhfágann tollán marbh líonra inúsáidte in ionad poll dubh, agus go ndéanann aththosú nó athchóiriú íomhá láithreach an riocht céanna a atáirgeadh.