Leiða VM-umferð í host-only neti í gegnum TUN OpenVPN netþjón

Host-only millistykki búa til staðbundið sýndarnet, og beint TUN göng flytja IP-pakka milli vistfanga. Hvort tveggja er brú yfir í hitt, þess vegna verður virk uppsetning að segja hver áframsendi og hver á heimleiðina. Ef þessum tveimur hlutverkum er ruglað saman svarar gesturinn göngunni með uppruna sem biðlarinn bað aldrei um. Hönnunin hér að neðan heldur báðum forskeytunum aðskildum og gerir heimleiðina skýra.

Tvö net, tvö forskeyti

Gefðu laug göngunnar og host-only netinu mismunandi forskeyti og notaðu aldrei annað fyrir hitt. Í þessu dæmi er VPN-laugin 10.44.0.0/24 og host-only netið 192.168.99.0/24, hýsillinn á 192.168.99.1 og gestur á 192.168.99.20. Að úthluta sama forskeyti bæði TUN-tæki og host-only millistykkinu tengir þau ekki. Það skapar tvær kröfur á eitt vistfangasvið, og beiningartaflan svarar þá fyrir þá kröfu sem hún hélt eftir fyrir tilviljun.

Host-only millistykkið er til á hýsilnum og inni í gestinum, og það hefur ekki á eigin spýtur leið út af vélinni. Brúaðar og NAT-tengingar hafa mismunandi sýnileika, og að skipta yfir í brúarham er ekki skilyrði fyrir því að ná einni þjónustu gestarins.

Hýsillinn heldur þegar leiðinni

Horfðu á hvað er til áður en þú bætir einhverju við. Hýsillinn hefur tengi á host-only netinu og leið fyrir það forskeyti, bæði búin til þegar millistykkið kom upp.

ip -br addr show
ip route show 192.168.99.0/24
sysctl net.ipv4.ip_forward

Þriðja línan er gangverkið sem gerir hýsilinn að stökki. Án hennar er pakki sem kemur úr göngunni beint á net sem hýsillinn nær í en mun ekki áframsenda. Áframsending er nauðsynleg en ekki nægjanleg. Síupólitíkin ræður enn hvort tiltekið flæði milli tengis göngunnar og host-only tengisins er leyft, og sú ákvörðun á heima skriflega frekar en í sjálfgefinni stefnu sem enginn las.

Ýttu leiðinni og síaðu svo það sem hún nær

Netþjónninn getur afhent host-only forskeytið biðlurum sem samþykkja ýttar leiðir, sem er sama gangverk og notað er fyrir hvert annað undirnet bak við gönguna.

push "route 192.168.99.0 255.255.255.0"
iptables -A FORWARD -i tun0 -o vboxnet0 -d 192.168.99.20 -p tcp --dport 5432 -j ACCEPT
iptables -A FORWARD -i vboxnet0 -o tun0 -s 192.168.99.20 -p tcp --sport 5432 -m conntrack --ctstate ESTABLISHED -j ACCEPT

Þessar tvær reglur leyfa eina þjónustu í eina átt og svör hennar. Leið sem nær öllu forskeytinu og sía sem leyfir eitt gátt eru viljandi samsetning; leið auk skilyrðislausrar samþykktar er leiðin sem rannsóknarstofuþjónusta verður berskjölduð þjónusta. Ýtt leið er heldur ekki heimild. Biðlarinn samþykkir hana, hýsillinn áframsendir hana, og eldveggur gestarins og þjónustan sjálf hafa enn eitthvað að segja.

Gesturinn þarf leið til baka

Gest sem náð er til frá 10.44.0.x verður að senda svör sín á host-only vistfang hýsilsins, eða hýsillinn verður að þýða upprunann. Að fá vistfang frá DHCP VirtualBox segir ekkert um hvora fyrirkomulagið.

ip route add 10.44.0.0/24 via 192.168.99.1 dev enp0s8
ip route get 10.44.0.15

Að bæta þeirri leið við inni í gestinum varðveitir upprunalega upprunann, sem heldur stefnu og annálum fyrir hvern biðlara merkingarbærum. Takmörkuð upprunaþýðing á hýsilnum er valkosturinn, og hún virkar, á kostnað þess að fela hvaða biðlari tengdist. Skörun er hinn bilunarhamurinn. Fjartengdur biðlari sem heimanet hans notar þegar 192.168.99.0/24 mun lesa ýttu leiðina sem eigið net, og engin breyting á netþjónshlið lagar þá tvíræðni. Endurnúmeraðu aðra hliðina eða veldu forskeyti sem líklegt er að rekist ekki á.

TUN-tæki flytur IP-pakka, svo að bæta sjálfgefinni gátt við inni í gesti gerir gönguna ekki að Ethernet-hluta með host-only millistykkinu. TAP-brú er önnur hönnun með eigin biðlarastuðningi og vistfangaeign, og að blanda saman þessum tveimur lýsingum leiðir til uppsetninga sem nálgast aldrei.

Staðfestu og gerðu það svo að það standist endurræsingu

Prófaðu eina meinlausa þjónustu frá venjulegum fjartengdum biðlara, athugaðu heimleið gestarins og staðfestu að þjónusta sem þú leyfðir ekki sé hafnað frekar en hæg.

ss -lntp '( sport = :5432 )'
conntrack -L | grep 192.168.99.20

Endurræstu svo VPN-þjónustuna og netkerfi sýndarvélarinnar og endurtaktu sömu þrjár athuganir. Leið sem bætt er við með höndunum lifir þar til næstu endurræsingar, og uppsetning sem virkar aðeins í heitu lotu er ekki hönnun. Skráðu forskeytin tvö, áframsendingarstefnuna og leið gestarins saman. Sá sem bætir við næstu sýndarvél þarf öll þrjú og mun annars enduruppgötva þau eina misheppnaða tengingu eftir aðra.