NAT jew netwerk VM bil-pont: liema jġorr it-traffiku VPN?
Il-mistednin NAT jissellfu l-mina tal-host biss meta l-klijent jagħmel il-mina skont ir-rotta; il-mistednin bil-pont jidderieġu huma stess. Ittestja l-mistieden, imbagħad agħżel il-mod li jaqbel.
Il-pont u NAT mhumiex żewġ modi kif twaħħal l-istess mistieden mal-VPN tiegħek; huma jiddeċiedu ta' min huma l-pakketti tal-mistieden qabel ma tidħol xi mina. Fil-mod NAT il-hypervisor jerġa' jikteb it-traffiku tal-mistieden u joħorġu minn kodiċi fuq in-naħa tal-host, biex il-mistieden jgħaddi minn kull rotta li l-host jagħti lil dak il-kodiċi. Fil-mod bil-pont il-mistieden jikseb l-identità tiegħu fil-livell tal-ħolqa fis-segment fiżiku u jagħżel il-gateway awtomatiku tiegħu stess, li tagħmel il-mina tal-host irrelevanti għalih, sakemm ir-router tal-LAN mhuwiex dak li jagħmel il-mina. Jien waqaft nittratta l-VM bħala li tinsab fuq il-VPN u bdejt nittrattaha bħala mistoqsija dwar fejn huwa diretti r-rotta awtomatika ta' dak il-mistieden. It-test hawn taħt jieħu ftit minuti għal kull mod u jsolviha mingħajr tbassir.
NAT iżomm lill-mistieden wara l-kodiċi tal-hypervisor, fejn japplikaw ir-rotot tal-host
Fil-VirtualBox mistieden NAT joqgħod fuq 10.0.2.0/24 b'gateway virtwali f'10.0.2.2, proxy DNS f'10.0.2.3, u mingħajr rotta tiegħu għan-netwerk fiżiku. Il-pakketti li joħorġu jittieħdu mill-magna NAT, jerġgħu jinkitbu biex is-sors ikun il-host, u jgħaddu lit-tabakk IP tal-host. Minn hemm it-traffiku tal-mistieden huwa fluss tal-host, u t-tfittxija tar-rotta ssir skont id-destinazzjoni: klijent b'mina sħiħa li jinstalla 0.0.0.0/1 u 128.0.0.0/1 fuq il-host jaqbadha mingħajr ma qatt jaf li teżisti VM. Il-kapitlu ta' Oracle dwar in-netwerks tal-VirtualBox jelenka dawn il-valuri awtomatiċi jekk trid tikkonferma l-indirizzi fil-bini tiegħek.
In-netwerk awtomatiku ta' libvirt jasal fl-istess post minn 192.168.122.0/24, fejn dnsmasq iqassam il-kiri u l-host jagħmel masquerade tas-subnet, biex il-pakketti tal-mistieden jerġgħu jaslu għad-deċiżjoni tal-irrotar tal-host. L-eċċezzjoni hija klijent li jagħżel it-traffiku skont il-proċess u mhux skont ir-rotta. Jekk il-lista tal-mina maqsuma fiha biss il-browser tiegħek u xejn ieħor, il-magna NAT mhijiex fuq dik il-lista, u l-mistieden iħalli l-magna mingħajr mina waqt li l-browser tal-host għadu jidher mgħotti. L-istess subnet, riżultat oppost.
Il-pont jagħti lill-mistieden il-post tiegħu fuq il-LAN fiżika
Mistieden bil-pont jingħata NIC virtwali mwaħħla ma' adapter veru, jikseb l-indirizz MAC tiegħu u jieħu kiri DHCP min-netwerk fiżiku. Il-gateway awtomatiku tiegħu huwa r-router tal-LAN, mhux il-hypervisor, u l-frejms tiegħu joħorġu fuq il-wajer minn dak l-adapter. Ir-rotot tal-mina tal-host jgħixu fit-tabella tal-host u qatt ma jiġu mistoqsija, għax il-frejms tal-mistieden qatt ma jidħlu fit-tabakk IP tal-host.
Dan jaqta' fiż-żewġ direzzjonijiet. mDNS u l-ibbrawżjar SMB jibdew jaħdmu għax il-mistieden jara t-traffiku tax-xandir tal-LAN, u l-mistieden isir aċċessibbli minn magni oħra fl-istess segment mingħajr firewall tal-host bejniethom. Il-pont mhuwiex mod kif timbotta mistieden minn mina eżistenti: li twaħħal VM mal-interface WireGuard jew OpenVPN tal-host mhuwiex xi ħaġa li VirtualBox jew libvirt jagħmlu għalik. Jekk mistieden bil-pont irid jgħaddi minn mina, il-mina trid tispiċċa xi mkien fuq dak il-LAN.
It-test li jtemm id-dibattitu
Ħaddem l-istess verifiki fiż-żewġ modi u ikteb it-tweġibiet:
- Fuq il-host,
curl -s https://ifconfig.mejagħti l-indirizz v4 pubbliku. - Fil-mistieden l-istess kmand, flimkien ma'
ip routefuq Linux jewGet-NetRoute -DestinationPrefix 0.0.0.0/0fuq Windows għall-gateway awtomatiku. - Identità tas-solvatur:
resolvectl statusjewcat /etc/resolv.conffil-mistieden, biex tara jekk huwiex indirett lejn 10.0.2.3 jew server tal-LAN. - Familja tal-indirizzi:
ip -6 addr show scope globalu talba v6 waħda, għax mina v4 ma tgħid xejn dwar indirizz v6 globali li jista' jkollu l-mistieden.
Indirizzi pubbliċi li jaqblu jfissru li l-mistieden qiegħed fit-triq tal-host. Indirizz tal-mistieden li jaqbel mal-ħruġ tas-soltu tal-LAN ifisser li mhuwiex. Il-pass li n-nies jaqsbuh huwa l-kontroll: niżżel il-mina tal-host u erġa' għamel it-talba tal-mistieden. Jekk il-mistieden ikompli jibbrażja, qatt ma kien jiddependi mill-mina tal-host, x'jissuġġerixxi isem il-mod. Fil-mod NAT il-mistieden għandu jitlef l-internet meta l-mina tal-host tkun niżlet, sakemm il-klijent mhuwiex konfigurat biex jippermetti traffiku bla mina, li minnu nnifsu jisħaq li tkun taf.
Żewġ sinjali jigdbu. Ping li jirnexxi jipprova l-aċċessibilità, mhux it-triq tal-ħruġ. U DNS jista' jiġi mwieġeb mill-proxy 10.0.2.3 permezz tas-solvatur tal-host waqt li TCP jieħu rotta oħra, u hekk ikollok paġna li tgħabbi u login li qatt ma jitlesta.
Liema mod jaqbel għax-xogħol
Il-mod huwa deċiżjoni ta' rrotar, għalhekk agħżlu skont il-ħtieġa u mhux skont id-drawwa:
| Requirement | Mode that fits |
|---|---|
| Every guest flow must exit through the host tunnel | NAT, with a host client that tunnels by route, verified from inside the guest |
| The guest needs its own VPN account or profile | Bridged, or NAT with a client running inside the guest, not both |
| The guest must serve SSH, SMB, or a dev server to the LAN | Bridged; NAT needs a port forward, which does not change the outbound path |
| The guest must stay invisible to the LAN | NAT; a bridged guest is another host on the segment |
| The guest needs a real public IPv6 address | Bridged; VirtualBox NAT mode has no IPv6 forwarding |
| Isolation from the LAN with access to the host | Host-only adapter, not NAT |
L-ewwel ringiela hija fejn in-nies jaqbdu: NAT flimkien ma' klijent b'mina sħiħa fuq il-host tabilħaqq jgħatti mistieden, iżda biss sakemm il-klijent jagħmel il-mina skont ir-rotta u l-link ta' fuq tal-host tkun dik il-mina. Mexxi l-klijent għal lista permessa għall-browser biss u l-kopertura tisparixxi mingħajr ebda żball imkien. Ir-raba' ringiela hija l-iżball oppost: mistieden imqabbad bil-pont għall-konvenjenza li jibda bilkwiet iwieġeb għal SMB jew SSH fuq il-LAN tal-uffiċċju.
Ħsarat li jiġu attribwiti lill-VPN
Fuq Windows it-traduzzjoni NAT tinstab ġewwa l-proċess tal-VM tal-VirtualBox, għalhekk klijent għal kull applikazzjoni jeħtieġ eżatt dik ix-xbieha fil-lista tiegħu minflok regola ġenerali għall-magni virtwali. Meta aġġornament tal-klijent jerġa' jibni l-lista tal-proċessi tiegħu, il-mistednin NAT jitilfu l-kopertura l-ewwel, u r-rapport jinqara bħal VM li tilħaq il-LAN imma mhux l-internet waqt li l-host huwa tajjeb.
Il-pont lejn Wi-Fi huwa l-klassiku l-ieħor. Il-punti ta' aċċess rari jgħaddu frejms b'MAC tas-sors barrani, għalhekk pont fuq wlan0 jew ifalli għal kollox jew jaħdem sakemm l-iżolament tal-klijenti fuq l-AP jibda jwaqqgħu. VirtualBox xorta se joffri l-adapter bla wajer fil-lista tiegħu. Jekk il-host qiegħed fuq Wi-Fi u l-mistieden irid ikun bil-pont, ippjana li ttestjah minflok tassumi.
L-MTU huwa t-tielet. Mistieden bil-pont iżomm l-MTU ta' 1500 byte tal-LAN, u jekk iħaddem il-klijent WireGuard tiegħu fuq 1420, il-ħatriet TLS il-kbar jieqfu filwaqt li t-talbiet żgħar jirnexxu. Taħt NAT l-MTU tal-mina tal-host hija problema tal-host, imma l-mistieden għadu jemmen fi 1500, u UDP bil-bit don't-fragment imqiegħed jisparixxi bl-istess mod.
Ikteb il-mod u erġa' verifika wara kull bidla fl-adapter
Ikteb il-mod, l-interface tal-host li juża l-pont, il-gateway awtomatiku tal-mistieden, is-solvatur tiegħu u l-indirizzi tal-ħruġ v4 u v6 tiegħu. Dik ir-rekord hija li tagħmel il-ħsara li jmiss rħisa: meta laptop jgħaddi mid-dock għall-Wi-Fi, mistieden bil-pont isegwi l-pont għal adapter fiżiku ieħor u jista' jerġa' jikri fi subnet ieħor, waqt li mistieden NAT iżomm l-indirizz 10.0.2.x tiegħu u jiret bilkwiet link ieħor ta' fuq.
Qabel tagħlaq it-ticket, ikkonferma kull wieħed minn dawn:
- L-indirizz tal-ħruġ tal-mistieden huwa differenti mill-indirizz tal-ħruġ tal-host, għalhekk mhuwiex fuq il-mina tal-host.
- Is-solvatur huwa l-proxy 10.0.2.3 jew server tal-LAN, u taf min wieġeb.
- M'hemmx indirizz v6 globali fil-mistieden jekk id-disinn tal-mina huwa biss v4.
- Bil-mina tal-host niżlet, il-mistieden jieqaf jibbrażja, jew issa taf li qatt ma kien jiddependi minnha.
- Il-mistieden ma jarax traffiku tax-xandir tal-LAN li ma jikkonċernahx.