VM-Verkeier am host-only-Netz iwwer een TUN-OpenVPN-Server routeren

Halt den Tunnel an de host-only-Präfix getrennt, schléiss d'Gäscht-Rout weider, a gëff duerno all virtueller Maschinn e bewosste Retourwee iwwer den Host.

host-only-Adapteren schafen e lokalen virtuelle Netz, an geroutete TUN-Tunnelen droen IP-Paketen tëschend Adressen. Keent vun deenen zwee ass eng Bréck op dat anert, dofir muss eng funktionéierend Konfiguratioun soen, wien duerchleedt a wiem de Retourwee gehéiert. Verwiesselt een déi zwou Zouweisungen, äntwert d'Gäscht dem Tunnel mat enger Quell, déi den Tunnel-Client ni gefrot huet. Den Design hei drënner hält béid Präfixen getrennt a mécht de Retourwee explizit.

Zwee Netzer, zwee Präfixen

Gëff dem Tunnel-Pool an dem host-only-Netz ënnerschiddlech Präfixen a benotz ni deen eenen fir deen aneren. An dësem Beispill ass de VPN-Pool 10.44.0.0/24 an den host-only-Netz 192.168.99.0/24, mam Host op 192.168.99.1 an enger Gäscht op 192.168.99.20. D'selwecht Präfix souwuel engem TUN-Apparat wéi och dem host-only-Adapter ginn, verbënnt se net. Et schaït zwee Uspréch op ee Adressberäich, an d'Routentabell äntwert duerno fir deen Usproch, deen se zoufälleg behalen huet.

Den host-only-Adapter existéiert um Host an an der Gäscht, an e huet aus sech eraus kee Wee vun der Maschinn ewech. Bridgéiert a NAT-Verbindungen hunn eng aner Expositioun, an den Iwwergang an de Bridgéier-Modus ass keng Bedingung fir eng eenzeg Gäscht-Servicer ze erreechen.

Den Host huet de Wee schonn

Kuckt, wat do ass, ier Dir eppes bäifüügt. Den Host huet eng Interface am host-only-Netz an eng Rout fir dee Präfix, béid entstane wéi den Adapter eropgaang ass.

ip -br addr show
ip route show 192.168.99.0/24
sysctl net.ipv4.ip_forward

Déi drëtt Linn ass de Mechanismus, deen den Host zu engem Hop mécht. Ouni si gëtt e Pak, dat aus dem Tunnel kënnt, un en Netz adresséiert, dat den Host erreeche kann, awer net weiderleede wäert. Weiderleede ass néideg an net duergaangen. D'Filterpolitik entscheet weider, ob en bestëmmte Flux tëschend dem Tunnel-Interface an dem host-only-Interface erlaabt ass, an déi Entscheedung gehéiert op Pabeier an net an eng Standardpolitik, déi keen gelies huet.

Schléiss d'Rout weider, filtréier duerno, wat se erreecht

De Server kann de host-only-Präfix u Clienten liwweren, déi weidergeschléisst Routen akzeptéieren, wat dee selwechte Mechanismus ass wéi fir all anert Subnetz hannert dem Tunnel.

push "route 192.168.99.0 255.255.255.0"
iptables -A FORWARD -i tun0 -o vboxnet0 -d 192.168.99.20 -p tcp --dport 5432 -j ACCEPT
iptables -A FORWARD -i vboxnet0 -o tun0 -s 192.168.99.20 -p tcp --sport 5432 -m conntrack --ctstate ESTABLISHED -j ACCEPT

Déi zwou Reegele erlaben engem eenzegen Service an enger Richtung an seng Äntwerten. Eng Rout, déi de ganze Präfix erreecht, an e Filter, deen een Port erlaabt, sinn eng bewosst Kombinatioun; eng Rout plus eng onbedingt Akzeptanz ass de Wee, op deem aus engem Labo-Service en exponéierte Service gëtt. Eng weidergeschléisst Rout ass och keng Autorisatioun. De Client akzeptéiert se, den Host leet se weider, an d'Firewall vun der Gäscht an de Service selwer hunn nach eng Stëmm.

D'Gäscht brauch e Wee zeréck

Eng Gäscht, déi vun 10.44.0.x aus erreecht gëtt, muss hir Äntwerten un d'host-only-Adress vum Host schécken, oder den Host muss d'Quell iwwersetzen. Eng Adress vum VirtualBox DHCP ze kréien seet näischt iwwer eng vun deenen zwou Arrangémenter.

ip route add 10.44.0.0/24 via 192.168.99.1 dev enp0s8
ip route get 10.44.0.15

Dës Rout an der Gäscht bäizefüügen erhält déi ursprénglech Quell, wat d'Politik an d'Loggen pro Client sënnvoll hält. Eng limitéiert Quelliwwersetzung um Host ass d'Alternativ, an si funktionéiert, awer um Präis, ze verstoppen, wéi ee Client verbonne war. D'Iwwerlaapung ass den anere Fehlermodus. En distante Client, deem säin Heem-LAN schonn 192.168.99.0/24 benotzt, liest déi weidergeschléisst Rout als säin eegene Netz, an keng Ännerung op der Serversäit léist déi Zweedeitegkeet. Renuméier eng Säit oder wielt e Präfix, dee wuel net kollidéiert.

En TUN-Apparat drot IP-Paketen, also mécht d'Bäifügen vun engem Standard-Gateway an der Gäscht den Tunnel net zu engem Ethernet-Segment mam host-only-Adapter. TAP-Bridging ass en aneren Design mat senger eege Client-Ënnerstëtzung an Adress-Eegentum, an d'Mëschen vun deenen zwou Beschreiwungen féiert zu Konfiguratiounen, déi ni konvergéieren.

Verifizéiert, a maacht duerno, datt et en Neistart iwwerlieft

Test engem onschiedleche Service vun engem gewéinlechen distante Client, kontrolléier de Retourwee vun der Gäscht, a bestäteg, datt e Service, deen Dir net erlaabt hutt, ofgeleent gëtt an net lues ass.

ss -lntp '( sport = :5432 )'
conntrack -L | grep 192.168.99.20

Start duerno de VPN-Service an d'Netzwierk vun der virtueller Maschinn nei, a widderhuel déi selwecht dräi Kontrollen. Eng Rout, déi vun Hand bäigefüügt gouf, iwwerlieft bis zum nächsten Neistart, an eng Konfiguratioun, déi nëmmen an enger waarme Sessioun funktionéiert, ass keen Design. Schreift déi zwee Präfixen, d'Weiderleetungspolitik an d'Rout vun der Gäscht zesummen op. Wien déi nächst virtuell Maschinn bäifüügt, brauch all dräi a wäert se soss ee feelgeschloene Verbindung no där anerer erëm entdecken.

Ähnlech Artikelen