VirtualBox NAT oder Bridge: wou d'VPN vun der VM ophält

Zwee verschidde Froen kommen zesummen, all Kéier wann eng virtuell Maschinn e VPN-Client ausféiert, an si hunn ënnerschiddlech Äntwerten. Déi éischt ass, ob en Tunnel am Gaascht den Host schützt, an déi zweet ass, ob en Tunnel um Host de Gaascht deckt. Den Adaptermodus entscheet béides, méi wéi d'VPN-Software selwer. En NAT-Adapter mécht den Host zum siichtbaren Endpunkt, wärend en Bridge-Adapter de Gaascht mat senger eegener Adress op den Netz setzt.

Wien déi verschlësselt Sessioun tatsächlech ofschléisst

Eng verschlësselt Sessioun gehéiert zu der Maschinn, déi se ofschléisst, an dat ass de Gaascht wann de Client an der VM leeft. Nëmmen den Traffic, deen an den virtuelle Adapter vum Gaascht kënnt, geet duerch deen Tunnel, an den Hypervisor leet ni eng aner Maschinn duerch de Gaascht vu sech aus. Dofir kann de Gaascht en funktionéierenden Tunnel halen, während den Host op en oppenen Netz surft. D'Ëmgekéiert ass net symmetresch, an genau déi Asymmetrie ass den Deel, deen déi meescht Uleitungen falsch maachen.

Wien seng Adress den baussenzege Netz gesäit, ass d'Fro, déi den Adaptermodus äntwert. Soubal dat gekläert ass, hält d'Ofdeckung op eng Politikfro ze sinn an gëtt eng mechanesch. Alles hei drënner kënnt aus dësen zwou Tatsaachen.

NAT schreift de Gaascht ëm, bis en ausgesäit wéi den Host

Bei NAT schreift den Hypervisor all Pak vum Gaascht op d'Adress vum Host ëm, ier en den éischte Switch erreecht. Dësen Traffic gëtt dann un den eegene Netzstack vum Host iwwerginn, wou en senger Routingstabell follegt, dorënner eng Standardroute, déi engem Tunnel um Host gehéiert. En NAT-Gaascht gëtt dofir ganz ouni Konfiguratioun vun engem Tunnel um Host ofgedeckt, wat d'Géigendeel vun deem ass, wat de Fall Gaascht zu Host suggeréiert.

# on the host: adapter mode and NAT DNS behaviour
VBoxManage showvminfo "lab-vm" | grep -i -E "nic|nat"
VBoxManage modifyvm "lab-vm" --natdnshostresolver1 on

En Gaascht, deen en eegene Client ausféiert, schléisst deen Tunnel am Gaascht of, an den verschlësselten Traffic geet dann duerch déi selwecht Ëmschreiwung eraus, sou datt d'Applikatioune vum Host hire eigene Wee an hir eege Sortieadress behalen. VirtualBox besëtzt an dësem Modus och d'Nimmopféierung a gëtt d'Froe vum Gaascht duerch seng eege Engine weider, ausser --natdnshostresolver1 ass aktivéiert. Aktivéieren iwwergëtt dem Gaascht seng Sich un den Opléiser vum Host, wat d'Opléisung verbessert, wann dem Host seng eege Vue richteg ass, an deemselwechten och en Opléiser iwwergëtt, deen nëmmen an engem Tunnel existéiere kann. D'VM muss ausgeschalt ginn, ier d'Astellunge geännert gëtt, an d'Astellung gehéiert zum Adapter an net zu der Software vum Gaascht.

Bridge gëtt dem Gaascht seng eege Lease a seng eege Expositioun

Bridge gëtt d'Framen vum Gaascht op de physikale Segment weider, sou datt DHCP him eng Lease gëtt an den Netz hien als eenzelnen Host behandelt. All gebrückte Gaascht kann en onofhängegen Tunnel mat senger eegener Standardroute halen, an d'Tabell vum Host ännert sech ni. De Präis ass Expositioun: de Gaascht äntwert op Broadcasten, erschéngt an den Nopeschstabellen a kënnt ënner d'Portsécherheet vum Switch an d'Isolatioun vun drahtlose Clienten. En Tunnel um Host deckt dës Opstellung och net of, well d'Framen vum Gaascht ni duerch den Stack vum Host ginn.

Dësen Ënnerscheed zum NAT-Fall ass et wäert kloer ze soen, amplaz en als Implikatioun ze loossen. En gebrückte Gaascht brauch säin eegene Client a seng eege Umeldungsdaten, all Kéier wann säin Traffic en Tunnel muss benotzen. Wou de Gaascht fir den lokalen Netz onsichtbar muss bleiwen, ass NAT oder en nëmmen internen Netz mat kontrolléierter Routing dee besseren Design.

Firwat de Gaascht net de Gateway vum Host ka sinn

Dem Gaascht säin Tunnel un den Host ze verléinen huet keen ënnerstëtzte Schalter an engem vun den zwou grousse Hypervisoren. Den Host huet keng Route an den Tunnel vum Gaascht a keng Iwwersetzungsregel, déi dohi weist, dofir bleift den Traffic vum Gaascht an dem Host getrennte Stréim mat getrennten Besëtzer. Déi Richtung feelt onofhängeg vum Adaptermodus.

Déi brauchbar Ersatz sinn Weiderleitungen a Proxien. Eng lokal SSH-Weiderleitung léisst den Host sech mat senger eegener Loopback verbannen, während de Gaascht de Stroum an den Tunnel dréit, wat TCP-Servicer deckt, ouni en zweeten Client z'installéieren. Dem Host säin eegenen IP-Traffic amplaz den Tunnel vum Gaascht benotzen ze loossen verlaangt en Router am Gaascht plus eng ausdrécklech Route um Host an eng Iwwersetzung um Host. Dat ass en klengen Netzentworf an net eng Këscht, an et brauch en Plang fir de Réckwee. Wann de Gaascht just existéiert fir de Client ze lafen, setz de Client op den Host a läsch den zousätzleche Sprong.

ssh -N -f -L 8080:internal-host.example:80 user@lab-vm

Opléiser a Routen iwwerschreiden d'Grenz net

DNS follegt dem Adapter, deen d'Optioun kritt huet, dofir ierft e Gaascht den Tunnel-Opléiser vum Host net an den Host léiert ni de Server, deen dem Gaascht geschéckt gouf. Déi geschéckt dhcp-option DNS Wäerter gëllen fir d'Interface, déi se ugeholl huet, an dofir kann en gebrückte Gaascht ouni Client keng intern Nimm opléisen. En NAT-Gaascht benotzt normalerweis dem Hypervisor seng DNS-Behandlung, an den Ënnerscheed gesäit een an engem Kommando pro Ëmfeld.

# on the host
VBoxManage showvminfo "lab-vm" | grep -i -E "nic|nat"
# inside a Linux guest
ip -4 route
resolvectl status
# inside a Windows guest
Get-DnsClientServerAddress

Lies den Opléiser an d'Route am Gaascht, ier s du unhëls, datt eng vun deenen dem Host follegt. Füg den Tunnel-Opléiser dem eegene Adapter vum Gaascht bäi, wann intern Nimm do missten opgeléist ginn, a préif duerno mat engem Numm, deen nëmmen hannert dem Tunnel existéiert. Schreif den Adaptermodus, den Besëtzer vum Tunnel an d'Quell vum Opléiser fir all VM op, well déi dräi Tatsaachen bal all spéider Fro beäntwerten. Aner Hypervisore benennen d'Modi ëm a loossen de Prinzip onberéiert.