WireGuard a cikin LXC ko VM a kan Proxmox: ina ya kamata ya gudana?

WireGuard yana bukatar kernel ɗaya kawai ya mallaki interface ɗinsa, kuma wannan gaskiyar tana warware yawancin muhawarar wuri a Proxmox kafin aikin ya shigo ɗakin. Akwatin LXC kallo ne na sararin suna na kernel ɗin mai masauki, yayin da VM ke boot ɗin nata. Don haka tambaya mai amfani ba ita ce wace zaɓi ta fi sauƙi ba, amma wane kernel kuka yarda ku canza da wace hanyar dawowa za ku iya rayuwa da ita. Amsa wannan, kuma zaɓin tsakanin mai masauki, akwati ko VM yakan faru da kansa.

Baƙon LXC yana aiki a cikin kernel ɗin mai masauki

Shigar wireguard-tools a cikin akwati yana ba ku shirin sarrafawa, ba kernel mai zaman kansa ba. Interface ɗin wg0 da kuka ƙirƙira ana yi masa rijista a cikin tarin cibiyar sadarwar mai masauki kuma yana bayyana a jerin modules ɗinsa. Shi ya sa akwati zai iya wuce duk gwajin fakiti kuma har yanzu ya kasa a umarnin wg na farko lokacin da kernel ɗin mai masauki ba shi da module ɗin. Kuma bayanin kwantena na Proxmox yana rubuta wannan tsarin kernel ɗin da aka raba tare da iyakokin sararin suna da damar da kuke aiki a ciki.

Ijini shine ƙuntatawa ta biyu. Ɗaga interface da haɗa adireshi gare shi yana bukatar haƙƙin gudanar da cibiyar sadarwa a cikin sararin suna da ke mallakarsa, kuma akwati mara izini yana taswira waɗannan haƙƙoƙin ta sararin sunan mai amfani nasa maimakon riƙe su kai tsaye. Kada ku taɓa neman cikakken izini a matsayin amsa ta farko; duba abin da ake neman akwatin ya yi da gaske, sannan ku ba da shi.

Kernel ɗin mai masauki ma dogaro ne da aka raba. Sabunta kernel ɗin Proxmox yana canza aiwatar da WireGuard ƙarƙashin kowane akwati lokaci ɗaya, abin da yake da sauƙi har sai sabuntawa da tsammanin akwati sun gagara daidaitawa.

Mai masauki, akwati, VM: abin da kowane wuri ya mallaka a zahiri

Wuri a kan mai masauki yana sanya VPN cikin cibiyar sadarwar hypervisor ɗin kansa. Hanyoyi, ƙa'idodin firewall da tunnel ɗin suna zama ɓangare na dawowar mai masauki, kuma kuskure a can zai iya ɗaukar interface ɗin gudanarwa. Wannan abin karɓa ne don turawa na kayan more rayuwa a kan mai masaukin da za ku iya isa ta console, kuma yana da zafi a kan akwatin nesa mara hanyar shiga daga waje.

Akwati yana riƙe da sabis ɗin a naɗe kuma mai iya sake kunnawa yayin da yake aro kernel ɗin mai masauki. Ya dace da sabis na kernel ɗin da aka raba da gangan kuma yana ba ku ƙaramin raka'a don sake ginawa. Ba ya ba ku kernel mai zaman kansa, don haka duk abin da ke bukatar takamaiman ginin module yana nuni daga wannan zaɓi.

VM yana kashe ƙarin memory da wani tsarin da za a yi masa faci, kuma a madadin haka tunnel ɗin yana samun kernel ɗinsa, tebur ɗin turawa nasa da iyakar hoto. Lokacin da VPN shine abin da kuke mayarwa baya bayan mummunan canji, wannan hoton ya cancanci ƙarin nauyin.

Sharuddan uku da suke zaɓe muku

Idan tunnel ɗin yana bukatar sigar kernel ko fasalin WireGuard da mai masaukin Proxmox ba ya bayarwa, tsaya a nan kuma yi amfani da VM. Ba za ku iya shigar da sabon kernel cikin akwati ba, kuma bai kamata ku maye gurbin kernel ɗin hypervisor don gamsar da baƙo ɗaya ba.

Idan tunnel ɗin shine ƙofar shafin don ainihin prefixes na LAN, tambayi wanda ya riga ya mallaki hanyar dawowa. Akwati na iya tura zirga-zirga, amma interfaces ɗinsa suna zaune a cikin tarin mai masauki, don haka mai masaukin yana ɗaukar ɓangare na tsarin ko da ba ku shirya hakan ba. Wuri a kan mai masauki yana da gaskiya game da wannan; wuri cikin akwati sau da yawa ba haka ba.

Sannan auna girman tasirin kuskure. Sake kunna akwati abu ne mai sauƙi, maido da hoton VM abu ne da ake iya hasashe, kuma gyara cibiyar sadarwar mai masauki na iya bukatar shiga ta jiki ko console. Zaɓin da ya dace shine wanda za ku iya maido da mafi munin yanayinsa a daidai sa'ar da ya faru.

Tambaya ta huɗu ba kasafai take yanke hukunci ba amma ta cancanci faɗi: shin wani abu a kan mai masauki yana bukatar ganin interface ɗin tunnel? Idan iya, wuri a kan mai masauki ko cikin akwati yana riƙe wannan gani a gida, yayin da VM ke tilasta muku turawa tsakanin baƙo da mai masauki.

Tabbatar da wurin kafin ku tura zirga-zirga ta cikinsa

Bayan an shigar, tabbatar da wane kernel ke hidimar interface ɗin a zahiri da kuma ko an ba akwatin isasshen iko don riƙe shi:

$ pct config 101 | grep -E 'unprivileged|features'
unprivileged: 1
$ pct exec 101 -- wg show
interface: wg0
  listening port: 51820
$ pct exec 101 -- ip -4 addr show wg0
inet 10.60.0.2/24 scope global wg0

Sannan duba ɓangaren tura daga mai masauki, domin musafaha kawai yana tabbatar da tunnel ɗin a tsaye ne. Yi amfani da ip route get don adireshin abokin ciniki kuma tabbatar da cewa mataki na gaba da interface sun dace da zanen, kuma hanyar dawowa tana nan a ɓangaren nesa.

Bar ɗawainiyar da rubutaccen mai shi: wane kernel ke ɗaukar aiwatarwa, wane sararin suna ke riƙe interface ɗin, da waɗanne prefixes ƙofar za ta iya turawa. Wannan jumlar tana hana fiye da kowane kwatancen ma'auni na wurare uku.