Lab ɗin VPN na VirtualBox: VM na ƙofa ko hanyar sadarwa ta mai masauki kawai

Dole ne ku yanke shawara game da yawan injina da lab ɗin VPN ɗinku ya cancanta. VM na ƙofa mai tuƙi tsakanin sassan VirtualBox biyu yana sake haifar da fassarar adireshi, hanyar dawowa da matsayin katangar wuta da ainihin abokin ciniki ke zaune a bayanta. Sashe ɗaya kawai na mai masauki yana ba ku ƙofa ɗaya da aka sarrafa ba wani abu ba. Sigar ƙofa tana kashe baƙi uku da teburin tuƙi da kuke kiyayewa; sigar mai masauki kawai tana kashe baƙo ɗaya da manufa ɗaya. Tambayoyi uku sun raba su, kuma na uku yana yanke shawara ko gwajinku zai iya wucewa kwata-kwata.

Amsa tambayoyi uku kafin ku kwafi wani abu

Fara da abin da uwar garken VPN dole ya lura da shi. Idan uwar garken dole ta ga adireshin tushe wanda ba na baƙon gwaji ba, wani abu dole ya fassara tsakaninsu, kuma wannan abin dole ya zama na'urar tuƙi da kuke sarrafawa. Hanyar sadarwar mai masauki kawai tana ba mai masauki adafta a sashin baƙo, ba mai fassara ba. Sa'ad da baƙo ke buƙatar isa wani abu a waje, kuna haɗa adaftar NAT, kuma injin NAT na VirtualBox da kansa yana sake rubuta tushen ba tare da tambayar ku ba.

Sa'an nan ku tambaya ko baƙo zai iya isa wani abu sai ta hanyar rami. Wannan amsar tana zaɓar na ciki ko na mai masauki kawai, kuma ita ce tambayar da yawancin rubutun lab suka tsallake. A ƙarshe, ku tambaya abin da dole ya faru idan ramin ya faɗi, domin hakan yana ƙayyade manufa maimakon tsarin wuri, kuma lab da ke tabbatar da hanyar farin ciki kawai bai gwada kusan komai ba.

Haɗa matsayi uku da hanyoyin sadarwa na ciki

Yi amfani da baƙi uku da sassan da aka ambata biyu, tare da ƙofar ita ce kawai inji da ke da adafta a duka biyun:

VBoxManage modifyvm lab-client --nic1 intnet --intnet1 WAN
VBoxManage modifyvm lab-server --nic1 intnet --intnet1 LAN
VBoxManage modifyvm lab-gw --nic1 intnet --intnet1 WAN --nic2 intnet --intnet2 LAN

Babu wani mataki na ƙirƙira daban don hanyar sadarwa ta ciki. Zaren da ke cikin --intnet1 shi ne sashin: injina biyu suna raba shi ne kawai idan sunan ya yi daidai, kuma babu wani abu a kan mai masauki da ke haɗe da shi. Wannan ƙarshen sifa shi ne dalilin da lab ɗin ke maimaitawa da tsabta, domin hanyoyin mai masauki, abokin ciniki na VPN nasa da katangar wutarsa ba za su iya isa ga baƙi da ganganci ba. Sashin ciki kuma ba shi da uwar garken DHCP sai kun ƙara ɗaya, don haka adiresoshin tsaye su ne mafi gajeriyar hanya.

Ba abokin ciniki adireshin WAN nasa kawai, tare da ƙofar da aka saba da ke nuni ga adireshin WAN na ƙofar. Uwar garken tana samun adireshin LAN kuma tana amfani da adireshin LAN na ƙofar a matsayin ƙofarta ta da. Baƙon da ke riƙe adireshi biyu a sashe ɗaya, ko yana da ɓataccen hanya zuwa ɗayan sashin, yana da hanyar kewaya na'urar tuƙi, kuma gwaje-gwajen da ke ƙasa za su yi muku ƙarya.

Ina ajiye fayil ɗin rubutu kusa da sunayen VM tare da adireshi huɗu da sunayen sassa biyu, kuma ina liƙa shi a kowane harsashi. Bayan makonni, sa'ad da canjin bayanin ya karya wani abu, wannan fayil ɗin shi ne bambanci tsakanin gyara bayanin da gyara ƙwaƙwalwata.

Zaɓi na ciki ko na mai masauki kawai don sashin da bai kamata ya zubo ba

Yanayin mai masauki kawai yana ƙirƙirar adaftar kama-da-wane a kan mai masauki da kansa, yawanci vboxnet0, kuma yana ba mai masauki adireshi a sashin baƙo. Wannan yana da sauƙi don gudanarwa kuma yana da mutuwa ga gwajin keɓewa, domin mai masauki yanzu zai iya isa baƙo kai tsaye kuma kowace sabis a gefen mai masauki ta zama hanyar da za a iya bi. Yanayin ciki ba shi da adaftar mai masauki kwata-kwata. Ana iya rikita yanayin biyu cikin sauƙi a cikin panel ɗin saitunan cibiyar sadarwa, don haka duba bambancin da aka rubuta maimakon lakabin (duba shafin bayanan cibiyar sadarwar VirtualBox).

Ga baƙon da dole ya yi amfani da rami, na ciki shi ne mafi aminci na asali, tare da ƙofar a matsayin kawai hanyar fita. Idan kun riƙe na mai masauki kawai, ɗauki adaftar mai masauki a matsayin hanyar gudanarwa kuma faɗi hakan da ƙarfi: mai masauki na iya isa baƙo, kuma baƙo bai kamata ya iya amfani da mai masauki a matsayin hanyar fita ba.

VBoxManage modifyvm lab-client --nic1 hostonly --hostonlyadapter1 vboxnet0

Keɓewar da za ku iya tabbatarwa ita ce keɓewar da kuka saita. Baƙon da ke da adaftar ciki ɗaya, hanyar da aka saba a ƙofar kuma ba shi da adaftar NAT ba shi da wata hanya da ke tsallake ƙofar. Baƙon da ke da adaftar mai masauki kawai da adaftar NAT yana da hanyoyi biyu, kuma ɗaya ne kawai daga cikinsu wanda kuke son gwadawa.

Yi tuƙi da fassara a kan ƙofar, sannan ka sa ta kasa a rufe

VirtualBox ba ya tura tsakanin sassa; baƙo ne ke yin hakan. Tare da VM na uwar garken VPN a bayan ƙofar, kunna turawa kuma fassara zirga-zirgar abokin ciniki yayin da yake fita zuwa uwar garken:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

Da wannan ƙa'ida uwar garken tana ganin adireshin LAN na ƙofar maimakon na abokin ciniki, kuma haka ainihin abokin ciniki a bayan NAT na mai ɗaukar waya yake kama ga shugaban cibiyar sadarwa. Ajiye ƙimar sysctl a cikin /etc/sysctl.d/ da ƙa'idar a cikin duk sabis ɗin katangar wuta da rarraba ke amfani da shi, in ba haka ba sake kunnawa zai mayar da lab ɗin a hankali zuwa yanayin tuƙi amma ba fassara ba.

Turawa ba izini ba ce. Ƙarƙashin manufar FORWARD ta asali ta ACCEPT, baƙon da hanyarsa ta asali ke nuni ga ƙofar yana fita ta duk wace fuska teburin tuƙi ya zaɓa, da rami ko ba tare da shi ba. Idan ƙofar tana da adaftar NAT don shigar da fakiti, wannan adaftar hanyar fita ce mai aiki ba a ɓoye ba a daidai lokacin da ramin ya faɗi, kuma gwajin ku na VPN kawai bai taɓa zama gwajin VPN kawai ba.

Sa'ad da uwar garken tana nesa kuma ƙofar da kanta ke ƙare ramin, wannan shawarar tana nuni ga fuskar ramin, ba ga NIC da ke isa intanet ba:

iptables -P FORWARD DROP
iptables -A FORWARD -i eth0 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Ka raba jigilar waje na ramin da kansa da hanyar gudanarwa ta waje daga zirga-zirgar da ake turawa. Idan hanya ɗaya tilo ta gyara ƙofar ita ce ta ramin da kuke gyarawa, lab ɗin zai zama darasi na kullewa. Na'urar wasan bidiyo ta serial, adaftar gudanarwa ta mai masauki kawai, ko hoton yanayi sanannen mai kyau sun fi arha fiye da dawo da na'urar tuƙi da ta lalace da hannu.

Tabbatar da hanyar daga baƙo, ba daga mai masauki ba

Yi aiki zuwa waje. Tabbatar abokin ciniki zai iya isa adireshin WAN na ƙofar, sannan uwar garken ta hanyar ƙofar, sannan cewa haɗin zuwa tashar VPN yana fita kuma yana dawowa. Ɗaukar hoto a fuskokin ƙofar biyu yana nuna ko amsar tana isowa kuma ana jefar da ita a hanyar dawowa, abin da ɗaukar hoto a kan abokin ciniki kawai ba zai iya bambanta ba:

tcpdump -ni eth0 udp port 1194
tcpdump -ni tun0 udp port 1194

Sannan tabbatar da hanyar fita. Tambayi daga baƙo sabis ɗin nuna adireshi wane tushe yake gani kuma kwatanta shi da adireshin fitar ƙofar kanta; idan amsar ta yi daidai da adireshin mai masauki, akwai hanya kewaye da ramin. Duba wace mai warwarewa baƙo ke amfani da ita a zahiri, kuma duba IPv6 daban, domin sashin da IPv6 ke kunne yayin da ramin ke ɗauke da IPv4 kawai yana zubowa bisa ƙira ba bisa haɗari ba.

A ƙarshe, karya shi da gangan. Dakatar da ramin, ko toshe tasharsa ta waje, kuma buɗe sabon haɗi daga baƙo. Dole ya kasa, kuma dalilin dole ya zama wanda za ku iya ambata: babu hanya, ƙa'idar ƙin yarda, ko mai warwarewa ya mutu. Sake kunna ramin kuma tabbatar baƙo ya warke ba tare da sake gina cibiyar sadarwa ba. Idan mesh VPN kamar Hamachi ko ZeroTier yana raba lab ɗin, ku tuna cewa adaftar gada tana bin sunan adaftar, ba mesh ɗin ba, don haka dole a sake nuni da gadar bayan abokin ciniki ya shigar da adaftarsa ta kama-da-wane.

VBoxManage list bridgedifs
VBoxManage modifyvm lab-client --bridgeadapter1 <mesh-adapter-name>

Raba ramin baƙo tare da mai masauki yana nuna matsalar. Nuni da hanyar da aka saba ta mai masauki ga baƙo yana aiki, haka ma wakili a cikin baƙo; NAT ta mai masauki ba ya ɗauke da ramin baƙo don zirga-zirgar da mai masauki ya fara. Ajiye sunayen sassa da ƙa'idodin katangar wuta a wuri ɗaya, ɗauki hoton yanayin da ke aiki, kuma rubuta adireshin tushen da uwar garken ta lura. Sannan canjin bayanin na gaba zai kashe gudanar da rubutun sau ɗaya maimakon sake gina lab.