Gudanar da VPN a kan host ko cikin VM? Jagorar yanke shawara

Gina tunel a cikin baƙo da gina shi a kan host duk suna canza adireshin da burauza ke bayarwa, kuma a nan ne kamancin ya ƙare. Tunel mallakar baƙo yana riƙe da mabuɗansa, hanyar da ta saba da kuma mai warware sunansa a cikin kernel ɗin baƙo, yayin da host ke tura fakitin da aka rufa zuwa adireshi ɗaya mai nisa. Tunel mallakar host shine hoton madubi: abokin ciniki na host yana riƙe da zaman kuma yana amfani da hanyoyi da manufa, kuma baƙo yana aro duk abin da ya fito. Idan ka zaɓi mara shi daidai, kowace alama daga baya za ta kai ka ga na'urar da ba daidai ba. Umarni biyu suna warware tambayar cikin kusan minti ɗaya, sauran wannan jagorar kuwa shine abin da za ka yi da amsar.

Yanke shawarar mai shi kafin ka taɓa abokin ciniki

Dokar tana magana ne a kan inda ake samar da rubutun rufaffe, ba a kan wace na'ura ce ke nuna alamar VPN ba. Idan baƙo ne ke samar da shi, baƙo yana bukatar hanya mai aiki zuwa uwar garken VPN kuma babu wani abu daga host. Idan host ne ke samar da shi, baƙo yana bukatar hanyar host ɗin ta tsira daga duk wata manufa da abokin ciniki na host ke ɗora a kan zirga-zirgar gida.

Tambayoyi uku sukan zaɓi wurin maka. Shin zirga-zirgar baƙo dole ta tsira daga abokin ciniki na kamfani a kan host? To tunel ɗin yana cikin baƙo. Shin baƙi da yawa suna bukatar takardar shaidar ɗaya da adireshin fita ɗaya? To yana kan host, tare da saitin turawa da gangan. Shin zirga-zirgar baƙo ya kamata ya kasance gaba ɗaya a wajen VPN ɗin host? To tunel a cikin baƙo shine kawai tsari da ke ba ka hakan ta hanyar gininsa.

Rubuta amsar a layi ɗaya kusa da sunan VM: guest-owned ko host-owned. A cikin dakin gwaji na na'urori shida wannan bayanin yana ceto lokaci fiye da kowane mataki da ke ƙasa, domin yana hana ka bincika tunel wanda bai taɓa kasancewa a cikin na'urar da ka shiga ba.

WSL1 da WSL2 lokuta ne masu saɓani

WSL1 ba na'ura mai kama da ita ba ce, don haka tambayar wurin tana ƙafe galibi. Binary ɗinta na Linux suna gudana a kan tarin hanyar sadarwa na Windows ta hanyar ma'aunin fassara, kuma abokin ciniki na VPN na Linux ba shi da mu'amala mai zaman kanta da zai daidaita. Tsarin da ke aiki shine tunel a gefen Windows, inda rarrabawar ke amfani da sakamakon ba tare da mallakar komai ba.

WSL2 akasin haka ne. Yana gudanar da kernel na gaske a cikin ƙaramin VM na kayan aiki a bayan maɓallin kama-da-wane na Hyper-V, kuma ana fassara fannin adireshinsa ta NAT ta hanyar adaftan gefen host. Saboda haka abokin ciniki na Linux a cikin rarrabawar yana ɗauka kamar yadda zai yi a kan na'urar Linux ta zahiri: yana ƙirƙirar tun0 ko wg0, yana saka hanyoyinsa, kuma yana aiki. Rashin yana zaune a gefen host. Sa'ad da abokin ciniki na VPN na Windows ya haɗu da manufar da ke toshe zirga-zirga a cibiyoyin sadarwar gida, yana ɗaukar yankin WSL2 a matsayin cibiyar sadarwa ta gida marar aminci kuma yana yanke hanyar NAT. Sannan rarrabawar ta rasa DNS da hanyar fita yayin da tunel ɗinta yake lafiya: wg show yana ba da rahoton musafaha, ip route yana kama da daidai, kuma curl yana rataye.

Wanne gyara za ka iya amfani da shi ya dogara da sigar Windows. Tsohon shine keɓe a cikin abokin ciniki na host don yankin WSL, wanda ake ƙarawa a ƙarƙashin saitunan cibiyar sadarwa ta gida ko tunel ɗin da aka raba na abokin ciniki. Sabon, a kan sigogin Windows 11 da ke goya masa baya, shine hanyar sadarwa ta madubi: saka networkingMode=mirrored a cikin sashin [wsl2] na %UserProfile%\.wslconfig, gudanar da wsl --shutdown, kuma rarrabawar za ta raba mu'amalar host maimakon yankin NAT na sirri. Yanayin madubi kuma yana canza yadda localhost da tashoshin shiga ke ɗauka, don haka ɗauke shi a matsayin ƙaura ba makulli ba.

NAT, gada da abin da host zai iya gani

A ƙarƙashin NAT, ana aika fakitin tunel ɗin baƙo zuwa adireshin jama'a na uwar garken VPN kuma suna fita ta adaftan host a matsayin UDP ko TCP da aka rufa. Host yana ganin kwarara ɗaya da adadin baiti, babu wani abu game da wuraren da ke ciki. A ƙarƙashin adaftan gada baƙo yana da nasa asalin matakin 2 a kan LAN ta zahiri, yana ɗaukar nasa hayar DHCP, kuma yana kama ga kowace manufa da ta dogara da MAC kamar na'ura ta biyu. Babu ɗayan yanayin da ke barin host ya karanta kayan tunel ɗin; baƙon gada kawai ya fi bayyana ga cibiyar sadarwar da ke kewaye da shi.

Akwai kuma ƙasan iyaka ga keɓewa. Baƙo ba zai iya ɓoyewa daga na'urar da ta mallaki ƙwaƙwalwarsa ba, kuma duk wanda ke sarrafa host zai iya karanta mabuɗa daga RAM ɗin baƙo. Abin da tunel a cikin baƙo ke ba ka shine iyakar hanya da iyakar malware, ba kariya daga mutumin da ke riƙe da kwamfutar tafi-da-gidanka ba. Ya dace a buɗe yanayin adaftan da aka rubuta yayin da kake zaɓe, domin yanayin yana canza abin da host ke gani da abin da LAN ke gani.

Jagora: sanya shi, daidaita shi, tabbatar da shi

Gudanar da waɗannan gwaje-gwaje huɗu a jere a cikin sabon harsashi na baƙo, kuma tsaya a na farko da bai dace da maigidan da ka rubuta ba.

1. ip route get 1.1.1.1 da ke mayar da tun0 ko wg0 yana nufin mallakar baƙo, kuma eth0 tare da tsalle na gaba na sirri yana nufin mallakar host.
2. resolvectl query example.com, ko karanta /etc/resolv.conf inda baƙo ba ya gudanar da sabis ɗin warwarewa. Tunel da ke ɗaukar zirga-zirga amma ba DNS ba shine mafi yawan yanayin da aka daidaita rabi.
3. Kwatanta fitoci: curl -4 -s https://ifconfig.me a cikin baƙo da curl.exe -4 -s https://ifconfig.me a kan host. Adireshi daban-daban suna nufin baƙo ne ya mallaki tunel ɗin, kuma host a kan VPN tare da baƙon da ke nuna ISP na gida shine yanayin da ba a gado komai ba.
4. Maimaita duka biyu da -6. Tunel na v4 kawai yana zubar da v6 sai dai idan abokin ciniki ya toshe ko ya yi masa hanya, kuma yawancin abokan ciniki suna barin v6 a kan mu'amalar zahiri ta asali.

Don ƙirar ƙofar host, inda baƙi da yawa ke raba tunel ɗaya, host dole ya tura ya kuma fassara. A kan host na Linux waɗannan sassa uku ne, kuma baƙo yana komawa shiru zuwa hanyarsa ta yau da kullum idan ɗaya daga cikinsu ya ɓace:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o wg0 -j MASQUERADE
iptables -A FORWARD -i virbr0 -o wg0 -j ACCEPT
iptables -A FORWARD -i wg0 -o virbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT

A gefen WireGuard, AllowedIPs na abokin host dole ya haɗa da yankin baƙi, misali 192.168.122.0/24, in ba haka ba fakitin dawowa ba za su taɓa isowa ba kuma saitin yana kama da matsalar wutar bango. Host na Windows yana samun sakamako ɗaya ta hanyar Raba Haɗin Intanet ko ƙa'idar NAT a kan maɓallin Hyper-V, kuma yana bukatar wannan gwajin hanyar dawowa.

Lokacin da tsarin yake buɗe, wannan tebur ɗin yana rufe mafi yawan tsare-tsaren da suke zuwa:

Tunel biyu, baƙi biyu, da rikice-rikice tsakaninsu

Lokacin da kake bukatar fitoci biyu a lokaci ɗaya, tsarin da ke tsayawa shine tunel ɗaya ga kowane baƙo. Kowace VM tana riƙe da nata hanyar da ta saba da mai warware suna, host yana zama a kan cibiyar sadarwa ta yau da kullum, kuma tunel ɗin biyu ba sa taɓa yin jayayya a kan teburin hanya ɗaya. Haɗa baƙi biyu da gada kuma ba ya tara hanyoyinsu: cibiyar sadarwar kama-da-wane tana ba da hanya, kuma kowane abokin ciniki dole a gaya masa cewa wannan zirga-zirgar gida na iya wuce tunel ɗin.

Gudanar da tunel na host da tunel na baƙo tare ya halatta, kuma saka su cikin juna da gangan wani lokaci shine ainihin abin da kake so, inda baƙo ke fita ta tunel ɗinsa sannan wancan tunel ɗin ya fita ta na host. Abin da ke mai da shi katsewa shine babu wanda ya rubuta wace ƙarshen hanya za a isa ta wace Layer. Riƙe jerin ginshiƙi biyu na manufa da mai shi, kuma rikicin hanya zai zama bincike maimakon yini na ganowa.

Tabbatar, sannan ka bar dawo da aikin ga mai shi

Gwada daga cikin baƙo da sabon tsarin aikace-aikace: zirga-zirga, warware suna, dukkan iyalan adireshi biyu, da abin da ke faruwa idan tunel ɗin ya faɗi. Alamar VPN ta host ba ta faɗin komai game da ɗaukar baƙo, kuma wannan shine mafi yawan tabbacin ƙarya a duk wannan fannin.

Dawo da aikin ma na mai shi ne. Tunel mallakar baƙo ana dawo da shi ta abokin ciniki na baƙo da kansa da hanyoyin da ya rubuta. Tsarin mallakar host ana dawo da shi ta jerin tashin host, kuma ƙa'idodin turawa ba sa tsira daga sake tashi sai dai idan wani unit ko aikin farawa ya sake amfani da su. Hoton da aka mayar ba shi ne turawa ba, ba sokewa ba, domin yana dawo da tsofaffin takardu da tsofaffin hanyoyi tare da faifan. Kafin ka ce aikin ya ƙare, tabbatar maigidan har yanzu ya dace da layin da ka rubuta, DNS da dukkan iyalan adireshi biyu ana warware su a cikin baƙo, mataccen tunel yana barin cibiyar sadarwa mai amfani maimakon ramin baƙi, kuma sake tashi ko mayar da hoto yana sake haifar da wannan yanayin.