Keyra VPN á hýsilnum eða inni í VM? Ákvörðunarhandbók

Að byggja ganginn inni í gestinum og að byggja hann á hýsilnum breyta báðum þeirri vistfangi sem vafrinn tilkynnir, og þar endar líkingin. Gangur í eigu gestsins heldur lyklum sínum, sjálfgefinni leið sinni og leysinum sínum inni í kjarna gestsins, á meðan hýsillinn sendir dulkóðuð pakkana á eitt fjarlægt vistfang. Gangur í eigu hýsilsins er spegilmyndin: skjáhermir hýsilsins heldur lotunni og beitir leiðum og stefnu, og gesturinn fær lánað það sem út kemur. Veldu rangan eiganda og hvert síðara einkenni sendir þig á ranga vél. Tvær skipanir leysa spurninguna á um það bil einni mínútu, og restin af þessari handbók er hvað þú gerir við svarið.

Ákveddu eigandann áður en þú snertir skjáherminn

Reglan snýst um hvar dulritaði textinn verður til, ekki hvaða vél sýnir VPN-tákn. Ef gesturinn framleiðir hann þarf gesturinn virka leið að VPN-þjóninum og ekkert annað frá hýsilnum. Ef hýsillinn framleiðir hann þarf leið gestsins gegnum hýsilinn að standast hvaða stefnu sem skjáhermir hýsilsins leggur á staðbundna umferð.

Þrjár spurningar velja staðsetninguna yfirleitt fyrir þig. Verður umferð gestsins að standast fyrirtækjaskjáhermi á hýsilnum? Þá tilheyrir gangurinn gestinum. Þurfa nokkrir gestir eitt auðkenni og eitt útgönguvistfang? Þá tilheyrir hann hýsilnum, með framsendingu stilltri viljandi. Á umferð gestsins að vera algjörlega utan VPN hýsilsins? Þá er gangur í gestinum eina fyrirkomulagið sem gefur þér það að byggingu.

Skrifaðu svarið á eina línu við VM-nafnið: guest-owned eða host-owned. Í sex vélar rannsóknarstofu sparar sú athugasemd meiri tíma en hvaða skref sem er hér fyrir neðan, því hún kemur í veg fyrir að þú leitir bilunar í gangi sem var aldrei í þeirri vél sem þú skráðir þig inn á.

WSL1 og WSL2 eru andstæð tilvik

WSL1 er ekki sýndarvél, svo spurningin um staðsetningu gufar að mestu upp. Linux-tvíkviklingar þess keyra gegn netlagi Windows í gegnum þýðingarlag, og Linux VPN-skjáhermir hefur engar sjálfstæðar tengingar til að stilla. Fyrirkomulagið sem virkar er gangur á Windows-hliðinni, þar sem dreifingin notar niðurstöðuna án þess að eiga nokkuð.

WSL2 er hið gagnstæða. Það keyrir raunverulegan kjarna í léttri hjálpar-VM bak við sýndarrofann Hyper-V, og vistfangarými þess er NAT-þýtt í gegnum millistykki á hýsilhlið. Þess vegna hagar Linux-skjáhermir inni í dreifingunni sér eins og á líkamlegri Linux-vél: hann býr til tun0 eða wg0, setur upp sínar eigin leiðir og virkar. Bilunin býr á hýsilhlið. Þegar Windows VPN-skjáhermir tengist með stefnu sem lokar umferð á staðbundnum netum, meðhöndlar hann WSL2-undirnetið sem ótraust staðbundið net og sker NAT-leiðina. Dreifingin tapar þá DNS og útgönguaðgangi á meðan eigin gangur hennar er enn heilbrigður: wg show tilkynnir handaband, ip route lítur rétt út, og curl hangir.

Hvaða lagfæringu þú getur notað fer eftir Windows-útgáfunni. Sú eldri er undantekning í skjáhermi hýsilsins fyrir WSL-undirnetið, bætt við undir stillingum staðbundins nets eða skipts gangs skjáhermisins. Sú nýrri, á Windows 11-útgáfum sem styðja hana, er spegluð netvirkni: settu networkingMode=mirrored í [wsl2]-hlutann í %UserProfile%\.wslconfig, keyrðu wsl --shutdown, og dreifingin deilir tengingum hýsilsins í stað einkanets NAT-undirnets. Speglaður hamur breytir líka hegðun localhost og innkomandi portna, svo meðhöndlaðu hann sem flutning en ekki rofa.

NAT, brú og hvað hýsillinn getur séð

Undir NAT eru gangapakkar gestsins stílaðir á opinbert vistfang VPN-þjónsins og fara út um millistykki hýsilsins sem dulritað UDP eða TCP. Hýsillinn sér eitt flæði og bætatölu þess, ekkert um áfangastaðina inni í því. Undir brúaðri millistykki hefur gesturinn eigin auðkenni á lagi 2 á líkamlega LAN-inu, tekur sína eigin DHCP-leigu og lítur út fyrir hverja MAC-byggða stefnu sem önnur tæki. Hvorugur hamur leyfir hýsilnum að lesa farm gangsins; brúaði gesturinn er einfaldlega mun sýnilegri fyrir netinu í kringum sig.

Það er líka neðri mörk á einangruninni. Gestur getur ekki falið sig fyrir vélinni sem á minni hans, og hver sem stjórnar hýsilnum getur lesið lykla úr vinnsluminni gestsins. Það sem gangur í gestinum gefur þér er mörk leiðar og mörk spilliforrits, ekki vörn gegn manneskjunni sem heldur á fartölvunni. Skráðir millistykki-hamar eru þess virði að hafa opna á meðan þú velur, því hamurinn breytir bæði því sem hýsillinn sér og því sem LAN-ið sér.

Handbók: settu það, stilltu það, sannaðu það

Keyrðu þessar fjórar prófanir í röð í nýrri skel gestsins og stansaðu á þeirri fyrstu sem stangast á við eigandann sem þú skrifaðir niður.

1. ip route get 1.1.1.1 sem skilar tun0 eða wg0 þýðir eign gestsins, og eth0 með einkahoppi þar á eftir þýðir eign hýsilsins.
2. resolvectl query example.com, eða lestu /etc/resolv.conf þar sem gesturinn keyrir enga leysiþjónustu. Gangur sem ber umferð en ekki DNS er algengasta hálfstillta ástandið.
3. Berðu saman útgöngurnar: curl -4 -s https://ifconfig.me í gestinum á móti curl.exe -4 -s https://ifconfig.me á hýsilnum. Ólík vistföng þýða að gesturinn á ganginn, og hýsill á VPN með gest sem sýnir heimanetsveituna er tilvikið þar sem ekkert erfðist.
4. Endurtaktu bæði með -6. Gangur sem er aðeins v4 lekur v6 nema skjáhermirinn loki eða beini því, og margir skjáhermar láta v6 vera á líkamlegu tengingunni sjálfgefið.

Fyrir hönnun með hýsilgátt, þar sem nokkrir gestir deila einum gangi, verður hýsillinn að framsenda og þýða. Á Linux-hýsil eru það þrír hlutar, og gesturinn fellur hljóðlega aftur á venjulegu leiðina þegar einhver þeirra vantar:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o wg0 -j MASQUERADE
iptables -A FORWARD -i virbr0 -o wg0 -j ACCEPT
iptables -A FORWARD -i wg0 -o virbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT

Á WireGuard-hliðinni verður AllowedIPs hýsilfélagans að innihalda undirnet gestanna, til dæmis 192.168.122.0/24, annars berast afturpakkar aldrei og uppsetningin lítur út eins og eldveggsvandamál. Windows-hýsill nær sömu niðurstöðu með Internet Connection Sharing eða NAT-reglu á Hyper-V-rofanum og þarf sömu prófun á afturleiðinni.

Þegar skipulagið er enn opið nær þessi tafla yfir algengustu fyrirkomulagið:

Tveir gangar, tveir gestir og átökin milli þeirra

Þegar þú þarft tvær útgöngur samtímis er mynstrið sem stendur einn gangur á hvern gest. Hvert VM heldur eigin sjálfgefinni leið og leysi, hýsillinn er á venjulega netinu, og gangarnir tveir deila aldrei sömu leiðatöflunni. Að brúa tvo gesti sameinar heldur ekki leiðir þeirra: sýndarnetið veitir slóð, og enn þarf að segja hverjum skjáhermi að þessi staðbundna umferð megi fara fram hjá ganginum.

Að keyra hýsilgang og gestgang saman er löglegt, og viljandi hreiðrun er stundum einmitt það sem þú vilt, þar sem gesturinn fer út um eigin gang og sá gangur fer út um gang hýsilsins. Það sem gerir þetta að truflun er að enginn skrifaði niður hvaða endapunkt á að ná í gegnum hvaða lag. Hafðu tveggja dálka lista yfir áfangastað og eiganda, og leiðarárekstur verður uppfletting í stað eftirmiðdags af uppgötvun.

Staðfestu og láttu síðan endurheimtina vera hjá eigandanum

Prófaðu innan frá gestinum með nýju forritarferli: umferð, nafnaupplausn, báðar vistfangafjölskyldur og hvað gerist þegar gangurinn fellur. VPN-tákn hýsilsins segir ekkert um þekju gestsins, og það er algengasta rangstaðfesta á öllu þessu sviði.

Endurheimtin tilheyrir líka eigandanum. Gangur í eigu gestsins er endurheimtur af eigin skjáhermi gestsins og leiðunum sem hann skrifaði. Hönnun í eigu hýsilsins er endurheimt af ræsingarferli hýsilsins, og framsendingarreglurnar lifa ekki endurræsingu af nema eining eða ræsingarverk beiti þeim aftur. Endurheimt skyndimynd er uppsetning, ekki afturköllun, því hún færir gömlu auðkennin og gömlu leiðirnar til baka með disknum. Áður en þú lýsir verkinu lokið skaltu staðfesta að eigandinn passi enn við línuna sem þú skrifaðir, að DNS og báðar vistfangafjölskyldur leysist inni í gestinum, að dauður gangur skilji eftir nothæft net í stað svarthols, og að endurræsing eða endurheimt skyndimyndar framkalli sama ástand.