WireGuard an LXC oder enger VM op Proxmox: wou soll et lafen?
WireGuard kann op dem Proxmox-Host, an engem Container oder an enger VM lafen. D'Entscheedungsfaktore sinn d'Eegentum vum Kernel, d'Kontroll vun der Interface an d'Wiederhierstellung.
WireGuard brauch genee ee Kernel deen seng Interface besëtzt, an dës Tatsaach entscheet de gréissten Deel vun der Proxmox-Plazéierungsdebatte ier d'Performance iwwerhaapt an de Sall kënnt. En LXC-Container ass eng Nummraum-Siicht vum Host-Kernel, wärend eng VM säin eegene start. Dofir ass déi nëtzlech Fro net wéi eng Optioun méi liicht ass, mee wéi ee Kernel dir bereet sidd ze änneren a mat wéi engem Erhuelungswee dir kënnt liewen. Äntwert dorobber, an d'Wiel tëschent Host, Container oder VM geschitt meeschtens vun selwer.
En LXC-Gascht schafft bannen am Host-Kernel
D'Installatioun vun wireguard-tools an engem Container gëtt dir de Kontrollprogramm, net e private Kernel. D'Interface wg0 déi dir uleest gëtt am Netzwierkstapel vum Host registréiert an erschéngt an der Modullëscht vum Host. Dofir kann e Container all Paketpréifung bestoen an awer beim éischte wg-Befehl feelen wann dem Host-Kernel de Modul feelt. An d'Proxmox-Container-Referenz dokumentéiert dëst gedeelt-Kernel-Modell zesumme mat den Nummraum- a Privilegië-Grenzen an deenen dir schafft.
D'Autoritéit ass déi zweet Aschränkung. Eng Interface eropbréngen an Adressen unzehänken erfuerdert Netzwierk-Administratiounsrechter bannen dem Nummraum deen et besëtzt, an en onprivilegéierte Container mappt déi Rechter duerch säin Benotzer-Nummraum amplaz se direkt ze halen. Gräif ni no Vollprivilegië als éischt Äntwert; kuck wat vum Container tatsächlech verlaangt gëtt, a gëff dann dat.
Den Host-Kernel ass och eng gedeelt Ofhängegkeet. En Proxmox-Kernelupdate ännert d'WireGuard-Implementatioun ënner all Container op eemol, wat bequem ass bis en Update an d'Erwaardunge vun engem Container net méi zesummenpassen.
Host, Container, VM: wat all Plazéierung tatsächlech besëtzt
D'Plazéierung um Host setzt d'VPN an den eegene Reseau vum Hypervisor. Route, Firewall-Regelen an den Tunnel ginn Deel vun der Host-Erhuelung, an e Feeler do kann d'Management-Interface mat huelen. Dat ass akzeptabel fir Infrastruktur-Routing op engem Host deen dir iwwer eng Konsole erreecht, a schmerzhaf op enger Fernmaschinn ouni Zougang baussen dem Band.
En Container hält de Service verpackt a nei startbar wärend hien nach den Host-Kernel léint. Hie passt zu engem bewosst gedeelte-Kernel-Service a gëtt dir eng kleng Eenheet fir nei opzebauen. En gëtt dir kee onofhängege Kernel, dofir weist alles wat eng bestëmmte Modul-Build brauch ewech vun dëser Optioun.
| Placement | Kernel owner | Typical failure mode |
|---|---|---|
| Proxmox host | Hypervisor | A routing change breaks host management access |
| LXC container | Host kernel, container namespace | Missing capability or missing module at wg0 creation |
| Virtual machine | Guest kernel | Extra maintenance and a second patch cycle |
Eng VM kascht méi Erënnerung an nach ee System ze patch, an am Géigenzuch kritt den Tunnel säin eegene Kernel, seng eege Routing-Tabell an eng Snapshot-Grenz. Wann d'VPN dat ass wat dir no enger schlechter Ännerung zrécksetzt, ass dee Snapshot den Iwweraufwand wäert.
Dräi Konditiounen déi fir dir wielen
Wann den Tunnel eng Kernelversioun oder eng WireGuard-Funktioun brauch déi den Proxmox-Host net liwwert, stoppt hei a benotzt eng VM. Dir kënnt keen neiere Kernel an e Container installéieren, an dir sollt den Hypervisor-Kernel net ersetzen fir ee Gascht zefriddenzestellen.
Wann den Tunnel den Gateway vum Site fir richteg LAN-Präfixer ass, frot wien schonn de Retourwee besëtzt. En Container kann Traffic route, awer seng Interface sëtzen am Stapel vum Host, also dréit den Host um Enn en Deel vun der Konfiguratioun, ob dir dat geplangt hutt oder net. D'Plazéierung um Host ass éierlech doriwwer; d'Plazéierung an engem Container dacks net.
Dann weit den Aflossradius vun engem Feeler of. En Container nei starten ass bëlleg, en VM-Snapshot restauréieren ass viraussobar, an d'Reparatur vum Host-Netzwierk kann physeschen oder Konsolzougang erfuerderen. Déi richteg Wiel ass déi där hire schlëmmste Fall dir tatsächlech an der Stonn erëmhuele kënnt wou en geschitt.
Eng véiert Fro ass seelen entscheedend awer derwäert gesot ze ginn: muss eppes anescht um Host d'Tunnel-Interface gesinn? Wann jo, hält d'Plazéierung um Host oder am Container déi Visibilitéit lokal, wärend eng VM dir forcéiert tëschent dem Gascht an dem Host ze route.
Beweist d'Plazéierung ier dir Traffic duerch sie route
No der Installatioun, bestätegt wéi ee Kernel d'Interface tatsächlech servéiert a ob dem Container genuch Autoritéit ginn ass fir se ze halen:
$ pct config 101 | grep -E 'unprivileged|features'
unprivileged: 1
$ pct exec 101 -- wg show
interface: wg0
listening port: 51820
$ pct exec 101 -- ip -4 addr show wg0
inet 10.60.0.2/24 scope global wg0Dann préift d'Weiderleitungs-Säit vum Host, well en Handshake eleng just beweist datt den Tunnel steet. Benotzt ip route get fir eng Client-Adress a bestätegt datt de nächsten Hop an d'Interface mam Design passen, an datt de Retourwee op der anerer Säit existéiert.
Loosst d'Deployment mat engem schrëftlechen Eegentümer: wéi ee Kernel d'Implementatioun dréit, wéi en Nummraum d'Interface hält a wéi eng Präfixer de Gateway weiderleede darf. Dee Saz verhënnert méi Tëschefäll wéi all Benchmark-Verglach vun den dräi Plazéierungen.