NAT ko hanyar VM ta gada: wanne ne ke ɗaukar zirga-zirgar VPN?

Gada da NAT ba hanyoyi biyu ba ne na haɗa baƙo ɗaya da VPN ɗinka; suna yanke shawara wanne ne ya mallaki fakitin baƙon kafin wani rami ya shiga tsakani. A yanayin NAT, hypervisor yana sake rubuta zirga-zirgar baƙon kuma yana fitar da ita daga lambar bangaren mai masauki, don haka baƙon yana bin duk hanyar da mai masauki ya ba wannan lambar. A yanayin gada, baƙon yana samun nasa asalin layin haɗi a ɓangaren zahiri kuma yana zaɓar nasa ƙofar da aka sanya ta asali, wanda hakan ya sa ramin mai masauki ya zama maras amfani gare shi, sai dai idan na'urar LAN ce ke yin ramin. Na daina ɗaukar VM a matsayin tana cikin VPN na fara ɗaukarsa tambaya ce kan inda hanyar asali ta wannan baƙon ta nufa. Gwajin da ke ƙasa yana ɗaukar minti kaɗan a kowane yanayi kuma yana warware shi ba tare da zato ba.

NAT yana riƙe baƙon bayan lambar hypervisor, inda hanyoyin mai masauki suke aiki

A VirtualBox baƙon NAT yana zaune a kan 10.0.2.0/24 tare da ƙofar kama-da-wane a 10.0.2.2, wakilin DNS a 10.0.2.3, kuma ba shi da hanyarsa zuwa cibiyar sadarwar zahiri. Fakitin da ke fita injin NAT ne ke ɗauka, yana sake rubuta su don tushen ya zama mai masauki, sannan ya miƙa su ga tarin IP na mai masauki. Daga nan zirga-zirgar baƙon kwarara ce ta mai masauki, kuma binciken hanya ta wurin manufa ne: abokin ciniki na cikakken rami wanda ya sanya 0.0.0.0/1 da 128.0.0.0/1 a kan mai masauki yana kama shi ba tare da ya taɓa sanin akwai VM ba. Babin Oracle kan hanyoyin sadarwar VirtualBox ya lissafa waɗannan tsoffin ƙima idan kana son tabbatar da adireshi a gininka.

Tsohuwar hanyar sadarwar libvirt tana isa wuri ɗaya daga 192.168.122.0/24, inda dnsmasq ke ba da haya kuma mai masauki ke yin masquerade na ƙaramin cibiyar, don haka fakitin baƙon suna sake isa shawarar hanyar mai masauki. Banda shi ne abokin ciniki da ke zaɓar zirga-zirga ta hanyar tsari maimakon ta hanya. Idan jerin ramin da aka raba ya ƙunshi burauzarka kawai kuma babu wani abu, injin NAT ba ya cikin wannan jerin, kuma baƙon yana barin na'urar ba tare da rami ba yayin da burauzar mai masauki har yanzu tana kama da an rufe ta. Ƙaramin cibiya ɗaya, sakamako dabam.

Gada tana ba baƙon nasa wuri a LAN ta zahiri

Ana ba baƙon gada NIC ta kama-da-wane da aka haɗa da adaftan gaske, yana samun nasa adireshin MAC kuma yana ɗaukar hayar DHCP daga cibiyar sadarwar zahiri. Ƙofarsa ta asali ita ce na'urar LAN, ba hypervisor ba, kuma firam ɗinsa suna fita kan waya ta wannan adaftan. Hanyoyin ramin mai masauki suna cikin teburin mai masauki kuma ba a taɓa tuntuɓar su ba, domin firam ɗin baƙon ba sa shiga tarin IP na mai masauki.

Wannan yana yanke ta gefe biyu. mDNS da binciken SMB suna fara aiki domin baƙon yana ganin zirga-zirgar watsa ta LAN, kuma ana iya isa baƙon daga wasu na'urori a ɓangare ɗaya ba tare da wani katangar wuta na mai masauki a tsakiya ba. Gada kuma ba hanya ce ta tura baƙo ta rami da ke akwai ba: haɗa VM da mu'amalar WireGuard ko OpenVPN ta mai masauki ba abu ne da VirtualBox ko libvirt ke yi maka ba. Idan baƙon gada dole ya bi ta rami, ramin dole ya ƙare wani wuri a wannan LAN.

Gwajin da ke kawo ƙarshen muhawara

Gudanar da waɗannan binciken a duka yanayi biyu kuma rubuta amsoshin:

• A kan mai masauki, curl -s https://ifconfig.me yana ba da adireshin v4 na jama'a.
• A cikin baƙon, wannan umarni ɗaya, da ip route a Linux ko Get-NetRoute -DestinationPrefix 0.0.0.0/0 a Windows don ƙofar asali.
• Asalin mai warwarewa: resolvectl status ko cat /etc/resolv.conf a cikin baƙon, don ganin ko yana nufa 10.0.2.3 ko uwar garken LAN.
• Iyalin adireshi: ip -6 addr show scope global da buƙatar v6 ɗaya, domin ramin v4 ba ya faɗin komai kan adireshin v6 na duniya da baƙon zai iya samu.

Adiresoshin jama'a da suka yi daidai suna nufin baƙon yana kan hanyar mai masauki. Adireshin baƙon da ya yi daidai da fitowar LAN ta yau da kullum yana nufin ba haka ba. Matakin da mutane ke tsallakewa shi ne gwajin sarrafawa: saukar da ramin mai masauki ka sake buƙatar baƙon. Idan baƙon ya ci gaba da burauza, bai taɓa dogaro da ramin mai masauki ba, duk abin da sunan yanayin ya nuna. A yanayin NAT ya kamata baƙon ya rasa intanet idan ramin mai masauki ya sauka, sai dai idan an saita abokin ciniki ya ƙyale zirga-zirga marar rami, wanda shi kansa ya cancanci a sani.

Alamu biyu suna yin ƙarya. Ping mai nasara yana tabbatar da isarsu, ba hanyar fita ba. Kuma DNS na iya amsa ta wakilin 10.0.2.3 ta hanyar mai warwarewar mai masauki yayin da TCP ke ɗaukar wata hanya, haka ake samun shafi da ke lodawa da shiga da ba ya ƙarewa.

Wane yanayi ya dace da aikin

Yanayin shawara ce ta hanya, don haka zaɓe shi daga buƙata maimakon daga al'ada:

Layi na farko shi ne inda mutane ke kama: NAT da abokin ciniki na cikakken rami a kan mai masauki suna rufe baƙo, amma kawai muddin abokin ciniki yana yin rami ta hanya kuma hanyar sama ta mai masauki ita ce wannan ramin. Motsa abokin ciniki zuwa jerin izini na burauza kawai kuma rufewar ta ɓace ba tare da wani kuskure a ko'ina ba. Layi na huɗu shine kuskuren akasin haka: baƙon da aka yi gada don sauƙi wanda a hankali ya fara amsa SMB ko SSH a LAN na ofis.

Rashin da ake ɗora wa VPN

A Windows fassarar NAT tana gudana cikin tsarin VM na VirtualBox, don haka abokin ciniki na kowace manhaja yana buƙatar wannan hoton daidai a jerinsa maimakon ƙa'ida gama-gari ga na'urori kama-da-wane. Lokacin da sabuntawar abokin ciniki ya sake gina jerin tsarinsa, baƙon NAT su ne farkon rasa rufewa, kuma rahoton yana karantawa kamar VM da ke isa LAN amma ba intanet ba yayin da mai masauki yake lafiya.

Gada zuwa Wi-Fi ita ce wata sanannen al'amari. Wuraren shiga ba safai suke tura firam ɗin da ke ɗauke da MAC na waje ba, don haka gadar zuwa wlan0 ko ta kasa gaba ɗaya ko tana aiki har sai warewar abokan ciniki a AP ya fara watsar da ita. VirtualBox zai ci gaba da ba da adaftan mara waya a jerinsa. Idan mai masauki yana kan Wi-Fi kuma dole a yi gadar baƙon, shirya gwada shi maimakon ɗauka.

MTU shi ne na uku. Baƙon gada yana riƙe MTU na byte 1500 na LAN, kuma idan yana gudanar da nasa abokin cinikin WireGuard a 1420, manyan musayar hannu na TLS suna tsayawa yayin da ƙananan buƙatu ke yin nasara. Ƙarƙashin NAT, MTU na ramin mai masauki matsalar mai masauki ce, amma baƙon har yanzu yana gaskata da 1500, kuma UDP da bit don't-fragment a kunne yana ɓacewa haka.

Rubuta yanayin, sannan sake dubawa bayan kowane canjin adaftan

Rubuta yanayin, mu'amalar mai masauki da gada ke amfani da ita, ƙofar asali ta baƙon, mai warwarewarsa da adireshin fitarsa na v4 da v6. Wannan rikodin shi ne ke sa rashin da ke gaba ya zama mai sauƙi: idan kwamfutar tafi-da-gidanka ta ƙaura daga dock zuwa Wi-Fi, baƙon gada yana bin gadar zuwa wani adaftan zahiri kuma yana iya sake hayar a wata ƙaramin cibiya, yayin da baƙon NAT ke riƙe adireshinsa na 10.0.2.x kuma a hankali ya gaji wata hanyar sama.

Kafin ka rufe tikitin, tabbatar da kowane ɗaya daga cikin waɗannan:

• Adireshin fitar baƙon ya bambanta da na mai masauki, don haka ba ya cikin ramin mai masauki.
• Mai warwarewar shi ne wakilin 10.0.2.3 ko uwar garken LAN, kuma ka san wanne ya amsa.
• Babu adireshin v6 na duniya a cikin baƙon idan tsarin ramin v4 ne kawai.
• Da ramin mai masauki a sauka, baƙon ya daina burauza, ko kuma yanzu ka san bai taɓa dogaro da shi ba.
• Baƙon ba ya ganin zirga-zirgar watsa ta LAN da ba ya shafe shi.