WireGuard í LXC eða VM á Proxmox: hvar á það að keyra?

WireGuard þarf nákvæmlega einn kjarna sem á viðmót sitt, og sú staðreynd leysir mestan hluta Proxmox-staðsetningarþrætunnar áður en afköst koma yfirhöfuð inn í herbergið. LXC-gámur er nafnrýmssýn á kjarna hýsilsins, en VM ræsir sinn eigin. Þannig að gagnlega spurningin er ekki hvaða valkostur er léttari, heldur hvaða kjarna þú ert tilbúinn að breyta og hvaða endurheimtarleið þú getur lifað með. Svaraðu því, og valið milli hýsils, gáms eða VM gerist venjulega af sjálfu sér.

LXC-gestur vinnur inni í kjarna hýsilsins

Að setja wireguard-tools í gám gefur þér stjórnforritið, ekki einkanlegan kjarna. Viðmótið wg0 sem þú býrð til skráist í netstak hýsilsins og birtist í einingalistanum hans. Þess vegna getur gámur staðist hverja pakkaskoðun og samt mistekist á fyrstu wg skipuninni þegar kjarna hýsilsins vantar eininguna. Og Proxmox-gámaviðmiðunin skjalfestir þetta sameiginlega kjarnalíkan ásamt mörkum nafnrýmis og forréttinda sem þú vinnur innan.

Heimildin er önnur takmörkin. Að rísa viðmóti og tengja við það vistföng krefst netstjórnunarréttinda innan nafnrýmisins sem á það, og gámur án forréttinda varpar þeim réttindum í gegnum notandanafnrými sitt í stað þess að halda þeim beint. Gríptu aldrei til fullra forréttinda sem fyrsta svars; skoðaðu hvað gámnum er raunverulega ætlað að gera, og veittu svo það.

Kjarni hýsilsins er líka sameiginleg ósjálfstæði. Proxmox-kjarnauppfærsla breytir WireGuard-útfærslunni undir hverjum gámi í einu, sem er þægilegt þar til uppfærsla og væntingar gáms fara ekki saman.

Hýsill, gámur, VM: hvað hver staðsetning á í raun

Staðsetning á hýslinum setur VPN í eigið net hypervisorsins. Leiðir, eldveggjarreglur og göngin verða hluti af endurheimt hýsilsins, og mistök þar geta tekið stjórnviðmótið með sér. Það er ásættanlegt fyrir leiðsögn innviða á hýsil sem þú nærð í gegnum skjáhermi, og sárt á fjarlægri vél án aðgangs utan bands.

Gámur heldur þjónustunni pakkaðri og endurræsanlegri en fær samt að láni kjarna hýsilsins. Hann hentar fyrir viljandi sameiginlega kjarnaþjónustu og gefur þér litla einingu til að endurbyggja. Hann gefur þér ekki sjálfstæðan kjarna, svo allt sem þarf tiltekna einingarbyggingu bendir burt frá þessum valkosti.

VM kostar meira minni og annað kerfi til að plástra, og í staðinn fær göngin sinn eigin kjarna, sína eigin leiðatöflu og mörk skyndimyndar. Þegar VPN er það sem þú kollvarpar eftir slæma breytingu, er sú skyndimynd þess virði.

Þrjú skilyrði sem velja fyrir þig

Ef göngin þurfa kjarnaútgáfu eða WireGuard-eiginleika sem Proxmox-hýsillinn býður ekki upp á, stoppaðu hér og notaðu VM. Þú getur ekki sett nýrri kjarna í gám, og þú ættir ekki að skipta um kjarna hypervisorsins til að fullnægja einum gesti.

Ef göngin eru hlið vefsvæðisins fyrir raunveruleg LAN-forskeyti, spurðu hver á nú þegar heimleiðina. Gámur getur leiðsagt umferð, en viðmót hans sitja í stak hýsilsins, svo hýsillinn ber að lokum hluta af stillingunni, hvort sem þú skipulagðir það eða ekki. Staðsetning á hýslinum er heiðarleg um þetta; staðsetning í gámi er það oft ekki.

Metðu þá áhrifasvið mistaka. Að endurræsa gám er ódýrt, að endurheimta VM-skyndimynd er fyrirsjáanlegt, og að laga net hýsilsins gæti krafist líkamlegs eða skjáhermaaðgangs. Rétta valið er það sem þú getur raunverulega endurheimt versta tilfelli þess á þeirri klukkustund sem það gerist.

Fjórða spurningin er sjaldan ráðandi en vert að nefna: þarf eitthvað annað á hýslinum að sjá gönguviðmótið? Ef svo er, heldur staðsetning á hýslinum eða í gámi þeirri sýn á staðnum, en VM neyðir þig til að leiðsagnast milli gests og hýsils.

Sannaðu staðsetninguna áður en þú leiðsagnar umferð í gegnum hana

Eftir uppsetningu, staðfestu hvaða kjarni þjónar viðmótinu í raun og hvort gámnum hafi verið veitt næg heimild til að halda því:

$ pct config 101 | grep -E 'unprivileged|features'
unprivileged: 1
$ pct exec 101 -- wg show
interface: wg0
  listening port: 51820
$ pct exec 101 -- ip -4 addr show wg0
inet 10.60.0.2/24 scope global wg0

Athugaðu svo framsendingarhliðina frá hýslinum, því handaband eitt sannar aðeins að göngin séu uppi. Notaðu ip route get fyrir biðlaraheimilisfang og staðfestu að næsta hopp og viðmótið passi við hönnunina, og að heimleiðin sé til á fjarlæga endanum.

Skildu uppsetninguna eftir með skriflegum eiganda: hvaða kjarni ber útfærsluna, hvaða nafnrými heldur viðmótinu og hvaða forskyrti hliðinu er heimilt að senda áfram. Sú setning kemur í veg fyrir fleiri atvik en nokkur samanburður á þremur staðsetningunum.