Saotharlann VPN VirtualBox: VM geata nó líonra óstach amháin

Caithfidh tú a shocrú cé mhéad inneall atá tuillte ag do shaotharlann VPN. Athchruthaíonn VM geata ródáilte idir dhá mhír VirtualBox an aistriú seoladh, an cosán fillte agus seasamh an bhalla dóiteáin a mbíonn cliant fíor ina shuí taobh thiar de. Tugann mír amháin óstach amháin duit aon doras rialaithe agus faic eile. Cosnaíonn an leagan geata trí aoi agus tábla ródála a chothaíonn tú; cosnaíonn an leagan óstach amháin aon aoi amháin agus aon pholasaí. Scarann trí cheist iad, agus socraíonn an tríú ceist an féidir le do thriail pas a fháil ar chor ar bith.

Freagair trí cheist sula gclónáil tú aon rud

Tosaigh le cad a chaithfidh an freastalaí VPN a fheiceáil. Má chaithfidh an freastalaí seoladh foinse a fheiceáil nach seoladh an aoi tástála é, caithfidh rud éigin aistriú eatarthu, agus caithfidh an rud sin a bheith ina ródaire a rialaíonn tú. Tugann líonrú óstach amháin adapter don óstach ar mhír an aoi, ní aistritheoir. Nuair a chaithfidh an t-aoi rud éigin lasmuigh a bhaint amach ansin, ceanglaíonn tú adapter NAT, agus athscríobhann inneall NAT VirtualBox féin an fhoinse gan fiafraí díot.

Ansin fiafraigh an bhféadfaidh an t-aoi rud ar bith a bhaint amach ach amháin tríd an tollán. Roghnaíonn an freagra sin inmheánach nó óstach amháin, agus sin an cheist a scipeann formhór na dtuairiscí saotharlainne. Ar deireadh, fiafraigh cad a chaithfidh tarlú nuair a thiteann an tollán, mar socraíonn sé sin polasaí seachas toipeolaíocht, agus níor thástáil saotharlann nach gcruthaíonn ach an cosán sona beagnach faic.

Ceangail na trí ról le líonraí inmheánacha

Úsáid trí aoi agus dhá mhír ainmnithe, agus an geata ar an aon mheaisín a bhfuil adapter aige ar an dá cheann:

VBoxManage modifyvm lab-client --nic1 intnet --intnet1 WAN
VBoxManage modifyvm lab-server --nic1 intnet --intnet1 LAN
VBoxManage modifyvm lab-gw --nic1 intnet --intnet1 WAN --nic2 intnet --intnet2 LAN

Níl aon chéim chruthaithe ar leith do líonra inmheánach. Is é an teaghrán in --intnet1 an mhír: ní roinneann dhá mheaisín é ach amháin má thagann an t-ainm go díreach, agus níl aon rud ar an óstach ceangailte leis. Is é an t-airí deireanach sin an fáth a ndéantar an tsaotharlann a athrá go glan, ós rud é nach féidir le róid an óstaigh, a chliant VPN féin agus a bhalla dóiteáin na haonna a bhaint amach de thaisme. Níl freastalaí DHCP ag mír inmheánach ach an oiread mura gcuireann tú ceann leis, mar sin is iad na seoltaí statacha an cosán is giorra.

Tabhair don chliant a sheoladh WAN amháin, le geata réamhshocraithe a dhíríonn ar sheoladh WAN an gheata. Faigheann an freastalaí seoladh LAN agus úsáideann sé seoladh LAN an gheata mar gheata réamhshocraithe. Tá cosán timpeall an ródaire ag aoi a choinníonn dhá sheoladh ar aon mhír amháin, nó a bhfuil ród strae aige chuig an mhír eile, agus inseoidh na tástálacha thíos bréaga duit.

Coinním comhad téacs in aice ainmneacha na VManna leis na ceithre sheoladh agus an dá ainm mhíre, agus greamaím isteach i ngach sliogán é. Seachtainí ina dhiaidh sin, nuair a bhriseann athrú próifíle rud éigin, is é an comhad sin an difríocht idir dífhabhtú an phróifíle agus dífhabhtú mo chuimhne féin.

Roghnaigh inmheánach nó óstach amháin don mhír nár cheart a sceitheadh

Cruthaíonn mód óstach amháin adapter fíorúil ar an óstach féin, de ghnáth vboxnet0, agus tugann sé seoladh don óstach ar mhír an aoi. Tá sé sin áisiúil don riarachán agus marfach do thriail leithlise, mar is féidir leis an óstach an t-aoi a bhaint amach go díreach anois agus éiríonn gach seirbhís ar thaobh an óstaigh ina cosán féideartha. Níl aon adapter óstaigh ag an mód inmheánach ar chor ar bith. Is furasta an dá mhód a mheascadh sa phainéal socruithe líonra, mar sin seiceáil an difríocht dhoiciméadaithe seachas an lipéad (féach an leathanach sonraí líonrú VirtualBox).

Do aoi a chaithfidh an tollán a úsáid, is é an mód inmheánach an réamhshocrú is sábháilte, agus an geata mar an t-aon bhealach amach. Má choinníonn tú óstach amháin, caith le hadapter an óstaigh mar chosán bainistíochta agus abair é os ard: féadfaidh an t-óstach an t-aoi a bhaint amach, agus ní fhéadfaidh an t-aoi an t-óstach a úsáid mar eisilt.

VBoxManage modifyvm lab-client --nic1 hostonly --hostonlyadapter1 vboxnet0

Is é an leithlisiú is féidir leat a chruthú an leithlisiú atá cumraithe agat. Níl aon chosán ag aoi a bhfuil adapter inmheánach amháin aige, ród réamhshocraithe ag an ngeata agus gan aon adapter NAT, a théann timpeall an gheata. Tá dhá chosán ag aoi a bhfuil adapter óstach amháin agus adapter NAT aige, agus níl iontu ach ceann amháin an ceann a raibh sé ar intinn agat a thástáil.

Ródaigh agus aistrigh ar an ngeata, agus ansin déan é a mhainneachtain go dúnta

Ní sheolann VirtualBox idir mhíreanna; is é an t-aoi a dhéanann. Agus VM an fhreastalaí VPN taobh thiar den gheata, cumasaigh an t-aistriú agus aistrigh trácht an chliaint agus é ag imeacht i dtreo an fhreastalaí:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

Leis an riail sin feiceann an freastalaí seoladh LAN an gheata in ionad seoladh an chliaint, agus sin an chuma a bhíonn ar chliant fíor taobh thiar de NAT iompróra do cheann líonra. Sábháil luach sysctl in /etc/sysctl.d/ agus an riail in aon tseirbhís balla dóiteáin a úsáideann an dáileadh, nó filleann atosú go ciúin ar an tsaotharlann go staid ródáilte ach neamhaistrithe.

Ní údarú é aistriú. Faoin bpolasaí réamhshocraithe FORWARD de ACCEPT, imíonn aoi a dhíríonn a ród réamhshocraithe ar an ngeata tríd an gcomhéadan a roghnaíonn an tábla ródála, le tollán nó gan é. Má tá adapter NAT ag an ngeata freisin le haghaidh suiteáil pacáistí, is eisilt oibre neamhchriptithe é an t-adapter sin an nóiméad a thiteann an tollán, agus níor thriail do thástáil VPN-amháin riamh tástáil VPN-amháin.

Nuair atá an freastalaí i bhfad i gcéin ina ionad sin agus an geata féin ag críochnú an tolláin, díríonn an cinneadh céanna ar chomhéadan an tolláin, ní ar an NIC a shroicheann an t-idirlíon:

iptables -P FORWARD DROP
iptables -A FORWARD -i eth0 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Coinnigh iompar seachtrach an tolláin féin agus ród bainistíochta lasmuigh den bhanda ar leithligh ó thrácht aistrithe. Más é an t-aon bhealach chun an geata a dheisiú dul tríd an tollán atá á dhífhabhtú agat, éiríonn an tsaotharlann ina cleachtadh glasála amach. Tá consól sraitheach, adapter bainistíochta óstach amháin nó léargas ar staid mhaith aitheanta níos saoire ná ródaire briste a aisghabháil de láimh.

Fíoraigh an cosán ón aoi, ní ón óstach

Oibrigh amach. Deimhnigh gur féidir leis an gcliaint seoladh WAN an gheata a bhaint amach, ansin an freastalaí tríd an ngeata, ansin go n-imíonn nasc chuig port an VPN agus go bhfilleann sé. Taispeánann gabháil ar an dá chomhéadan geata an dtagann an freagra agus an ndéantar é a ligean thar an gcosán fillte, rud nach féidir le gabháil ar an gcliaint amháin a idirdhealú:

tcpdump -ni eth0 udp port 1194
tcpdump -ni tun0 udp port 1194

Ansin cruthaigh an t-eisilt. Fiafraigh ón aoi de sheirbhís frithchaite seoladh cad é an fhoinse a fheiceann sé agus cuir i gcomparáid le seoladh eisilte an gheata é; má thagann an freagra le seoladh an óstaigh, tá cosán timpeall an tolláin ann. Seiceáil cén réititheoir a úsáideann an t-aoi i ndáiríre, agus seiceáil IPv6 ar leithligh, mar sceitheann mír ina bhfuil IPv6 cumasaithe agus an tollán ag iompar IPv4 amháin de réir dearaidh seachas de thaisme.

Ar deireadh, bris é d'aon ghnó. Stop an tollán, nó blocáil a phort seachtrach, agus oscail nasc nua ón aoi. Caithfidh sé teip, agus caithfidh an chúis a bheith ar cheann is féidir leat a ainmniú: gan ród, riail diúltaithe nó réititheoir marbh. Atosaigh an tollán agus deimhnigh go bhfaigheann an t-aoi réidh gan an líonra a atógáil. Má roinneann mesh VPN mar Hamachi nó ZeroTier an tsaotharlann, cuimhnigh go leanann adapter droichid ainm an adapter, ní an mesh, mar sin caithfear an droichead a atreorú tar éis don chliant a adapter fíorúil féin a shuiteáil.

VBoxManage list bridgedifs
VBoxManage modifyvm lab-client --bridgeadapter1 <mesh-adapter-name>

Léiríonn roinnt tollán aoí leis an óstach an fhadhb. Oibríonn díriú ród réamhshocraithe an óstaigh ar an aoi, agus oibríonn proxy taobh istigh den aoi freisin; ní iompraíonn NAT tríd an óstach tollán an aoi do thrácht a thionscain an t-óstach. Sábháil ainmneacha na míreanna agus rialacha an bhalla dóiteáin in aon áit amháin, tóg léargas ar an staid oibre, agus taifead an seoladh foinse a chonaic an freastalaí. Ansin cosnaíonn an chéad athrú próifíle eile rith scripte amháin in ionad saotharlann a atógáil.