VirtualBox NAT eða brú: hvar VPN sýndarvélarinnar endar

Tvær ólíkar spurningar koma saman í hvert sinn sem sýndarvél keyrir VPN-biðlara, og svörin eru ólík. Sú fyrri er hvort göng inni í gestinum verndi hýsilinn, og sú seinni er hvort göng á hýsilnum hylji gestinn. Stilling millistykksins ræður báðum, meira en VPN-hugbúnaðurinn sjálfur. NAT-millistykki gerir hýsilinn að sýnilega endapunktinum, en brúarmillistykki setur gestinn á netið með eigið vistfang.

Hver lýkur í raun dulkóðuðu lotunni

Dulkóðuð lota tilheyrir vélinni sem lýkur henni, og það er gesturinn þegar biðlarinn keyrir inni í vélinni. Aðeins umferð sem fer inn í sýndarmillistykki gestins fer um þessi göng, og hypervisor beinir aldrei annarri vél í gegnum gestinn af sjálfu sér. Þess vegna getur gesturinn haldið virkum göngum á meðan hýsillinn vafrar á opnu neti. Hið gagnstæða er ekki samhverft, og það misræmi er sá hluti sem flestar leiðbeiningar fara rangt með.

Hvaða vistfang ytra netið sér er spurningin sem stilling millistykksins svarar. Þegar það er ákveðið hættir umfjöllun að vera stefnumál og verður vélræn. Allt hér að neðan leiðir af þessum tveimur staðreyndum.

NAT endurskrifar gestinn þar til hann líkist hýsilnum

Með NAT endurskrifar hypervisor hvert pakka gestanna yfir í vistfang hýsilsins áður en það nær fyrsta rofanum. Þessi umferð er síðan afhent eigin netstakka hýsilsins, þar sem hún fylgir leiðartöflu hans, að meðtöldum sjálfgefinni leið sem göng á hýsilnum eiga. NAT-gestur er því hulinn göngum á hýsilnum án nokkurs samstillingar, sem er hið gagnstæða við það sem tilfellið gestur til hýsils bendir til.

# on the host: adapter mode and NAT DNS behaviour
VBoxManage showvminfo "lab-vm" | grep -i -E "nic|nat"
VBoxManage modifyvm "lab-vm" --natdnshostresolver1 on

Gestur sem keyrir sinn eigin biðlara lýkur þeim göngum inni í gestinum, og dulkóðuð umferð fer þá út um sömu endurskriftingu, svo forrit hýsilsins halda eigin leið og eigin útgönguvistfangi. VirtualBox á einnig nafnaupplausn í þessari stillingu og sendir fyrirspurnir gestanna í gegnum eigin vél sína nema --natdnshostresolver1 sé virkt. Að virkja það afhendir leitir gestanna uppljóstrara hýsilsins, sem lagar upplausnina þegar eigin sýn hýsilsins er rétt og afhendir jafnframt uppljóstrara sem kann að vera til eingöngu inni í göngum. Slökkva verður á vélinni áður en stillingunni er breytt, og stillingin tilheyrir millistykkinu en ekki hugbúnaði gestins.

Brú gefur gestinum eigið leigusal og eigin berskjöldun

Brú sendir ramma gestanna yfir á líkamlega hlutann, svo DHCP gefur honum leigusal og netið meðhöndlar hann sem sér hýsil. Hver brúaður gestur getur haldið sjálfstæðum göngum með eigin sjálfgefinni leið, og tafla hýsilsins breytist aldrei. Verðið er berskjöldun: gesturinn svarar útsendingum, birtist í töflum nágranna og lendir undir portöryggi rofans og einangrun þráðlausra biðlara. Göng á hýsilnum hylja þessa uppsetningu ekki heldur, því rammar gestanna fara aldrei um stakka hýsilsins.

Þann mun frá NAT-tilfellinu er þess virði að segja berum orðum í stað þess að láta hann liggja sem vísbendingu. Brúaður gestur þarf sinn eigin biðlara og sín eigin skírteini hvenær sem umferð hans verður að fara um göng. Þar sem gesturinn verður að vera ósýnilegur staðarnetinu er NAT eða net eingöngu að innan með stýrðri leiðsögn betri hönnunin.

Hvers vegna gesturinn getur ekki verið hlið hýsilsins

Að lána göng gestanna hýsilnum hefur engan studdan rofa í hvorugum tveggja stóru hypervisoranna. Hýsillinn hefur enga leið inn í göng gestanna og enga þýðingarreglu sem vísar þangað, svo umferð gestanna og hýsilsins verður áfram aðskilin straumur með aðskildum eigendum. Sú átt mistekst óháð stillingu millistykksins.

Starfrækar staðgengur eru framsendingar og milliþjónar. Staðbundin SSH-framsending leyfir hýsilnum að tengjast eigin lykkju á meðan gesturinn ber strauminn inn í göngin, sem hylur TCP-þjónustu án þess að vera setja upp annan biðlara. Að láta eigin IP-umferð hýsilsins nota göng gestanna í staðinn krefst beinis inni í gestinum auk skýrrar leiðar á hýsilnum og þýðingar á hýsilnum. Það er lítil netahönnun en ekki gátkassi, og hún þarf áætlun fyrir bakleiðina. Þegar gesturinn er til eingöngu til að keyra biðlarann, settu biðlarann á hýsilinn og eyðdu auka stökkinu.

ssh -N -f -L 8080:internal-host.example:80 user@lab-vm

Uppljóstrarar og leiðir fara ekki yfir mörkin

DNS fylgir millistykkinu sem fékk valkostinn, svo gestur erflir ekki uppljóstrara ganga hýsilsins og hýsillinn lærir aldrei þjóninn sem ýtt var til gestanna. Ýtt dhcp-option DNS gildi gilda fyrir viðmótið sem tók við þeim, og þess vegna getur brúaður gestur án biðlara ekki leyst innri nöfn. NAT-gestur notar venjulega DNS-meðferð hypervisorsins í staðinn, og munurinn sést í einni skipun fyrir hvert umhverfi.

# on the host
VBoxManage showvminfo "lab-vm" | grep -i -E "nic|nat"
# inside a Linux guest
ip -4 route
resolvectl status
# inside a Windows guest
Get-DnsClientServerAddress

Lestu uppljóstrarann og leiðina inni í gestinum áður en þú gerir ráð fyrir að annar þeirra fylgi hýsilnum. Bættu uppljóstrara ganganna við eigið millistykki gestins þegar leysa þarf innri nöfn þar, og staðfestu síðan með nafni sem er aðeins til handan ganganna. Skráðu stillingu millistykksins, eiganda ganganna og uppruna uppljóstrarans fyrir hverja vél, því þessar þrjár staðreyndir svara næstum hverri síðari spurningu. Aðrir hypervisorar endurnefna stillingarnar og láta grundvallaratriðið ósnortið.