Ir-rotta tat-traffiku tal-VM fuq in-netwerk host-only permezz ta' server TUN OpenVPN

Żomm it-tunnel u l-prefiss host-only separati, imbotta r-rotta tal-mistieden, imbagħad agħti lil kull magna virtwali rotta lura deliberata permezz tal-host.

L-adattaturi host-only joħolqu netwerk virtwali lokali, u t-tunnels TUN irruttati jġorru pakketti IP bejn l-indirizzi. L-ebda wieħed mhu pont lejn l-ieħor, għalhekk konfigurazzjoni li taħdem trid tgħid min qed jgħaddi 'l quddiem u ta' min hi r-rotta lura. Jekk dawn iż-żewġ assenjazzjonijiet jiġu mħawwda, il-mistieden iwieġeb it-tunnel b'sors li l-klijent tat-tunnel qatt ma talab. Id-disinn hawn taħt iżomm iż-żewġ prefissi separati u jagħmel ir-rotta lura espliċita.

Żewġ netwerks, żewġ prefissi

Agħti lill-pool tat-tunnel u lin-netwerk host-only prefissi differenti u qatt tuża wieħed għall-ieħor. F'dan l-eżempju l-pool tal-VPN huwa 10.44.0.0/24 u n-netwerk host-only huwa 192.168.99.0/24, bil-host fuq 192.168.99.1 u mistieden fuq 192.168.99.20. Li tagħti l-istess prefiss kemm lit-tagħmir TUN kif ukoll lill-adattatur host-only ma jgħaqqadhomx. Dan joħloq żewġ talbiet fuq firxa waħda ta' indirizzi, u t-tabella tar-rotot imbagħad twieġeb għat-talba li baqgħet magħha b'kumbinazzjoni.

L-adattatur host-only jeżisti fuq il-host u ġewwa l-mistieden, u m'għandux minnu nnifsu triq 'il barra mill-magna. Il-konnessjonijiet bil-pont u NAT għandhom espożizzjoni differenti, u l-qalba għall-mod pont mhix rekwiżit biex tasal għal servizz wieħed tal-mistieden.

Il-host diġà għandu t-triq

Ħares lejn dak li jeżisti qabel ma żżid xi ħaġa. Il-host għandu interface fuq in-netwerk host-only u rotta għal dak il-prefiss, it-tnejn maħluqa meta l-adattatur tela'.

ip -br addr show
ip route show 192.168.99.0/24
sysctl net.ipv4.ip_forward

It-tielet linja hi l-mekkaniżmu li jagħmel il-host qabża. Mingħajrha, pakkett li jasal mit-tunnel hu indirizzat lejn netwerk li l-host jista' jilħaq imma mhux se jgħaddih 'l quddiem. It-tgħaddija 'l quddiem hija meħtieġa u mhix biżżejjed. Il-politika tal-filtru xorta tiddeċiedi jekk fluss partikolari bejn l-interface tat-tunnel u l-interface host-only huwiex permess, u dik id-deċiżjoni trid tkun bil-miktub u mhux f'politika awtomatika li ħadd ma qara.

Imbotta r-rotta, imbagħad iffiltra dak li tilħaq

Is-server jista' jforni l-prefiss host-only lil klijenti li jaċċettaw rotot imbuttati, li huwa l-istess mekkaniżmu użat għal kwalunkwe subnetwork ieħor wara t-tunnel.

push "route 192.168.99.0 255.255.255.0"
iptables -A FORWARD -i tun0 -o vboxnet0 -d 192.168.99.20 -p tcp --dport 5432 -j ACCEPT
iptables -A FORWARD -i vboxnet0 -o tun0 -s 192.168.99.20 -p tcp --sport 5432 -m conntrack --ctstate ESTABLISHED -j ACCEPT

Dawn iż-żewġ regoli jippermettu servizz wieħed f'direzzjoni waħda u t-tweġibiet tiegħu. Rotta li tilħaq il-prefiss kollu u filtru li jippermetti port wieħed huma kombinazzjoni deliberata; rotta flimkien ma' aċċettazzjoni inkundizzjonata hi kif servizz tal-laboratorju jsir servizz espost. Rotta imbuttata lanqas mhija awtorizzazzjoni. Il-klijent jaċċettaha, il-host jgħaddiha 'l quddiem, u l-firewall tal-mistieden u s-servizz innifsu għadhom jgħidu kelthom.

Il-mistieden għandu bżonn triq lura

Mistieden li jintlaħaq minn 10.44.0.x irid jibgħat it-tweġibiet tiegħu lill-indirizz host-only tal-host, jew il-host irid jittraduċi s-sors. Li tirċievi indirizz mid-DHCP ta' VirtualBox ma tgħid xejn dwar ebda waħda miż-żewġ arranġamenti.

ip route add 10.44.0.0/24 via 192.168.99.1 dev enp0s8
ip route get 10.44.0.15

Li żżid dik ir-rotta ġewwa l-mistieden tippreserva s-sors oriġinali, li jżomm il-politika u l-logs għal kull klijent sinifikanti. Traduzzjoni tas-sors limitata fuq il-host hi l-alternattiva, u taħdem, bi prezz li taħbi liema klijent qabbad. Is-sovrapposizzjoni hi l-mod l-ieħor ta' falliment. Klijent remot li l-LAN tad-dar tiegħu diġà juża 192.168.99.0/24 jaqra r-rotta imbuttata bħala n-netwerk tiegħu stess, u ebda bidla fuq in-naħa tas-server ma ssolvi dik l-ambigwità. Erġa' nnumerizza naħa waħda jew agħżel prefiss li x'aktarx ma jaħbatx.

Tagħmir TUN iġorr pakketti IP, għalhekk li żżid gateway awtomatiku ġewwa mistieden ma jbiddilx it-tunnel f'segment Ethernet mal-adattatur host-only. Il-pont TAP hu disinn differenti bl-appoġġ tal-klijenti u l-proprjetà tal-indirizzi tiegħu stess, u li tħallat iż-żewġ deskrizzjonijiet iwassal għal konfigurazzjonijiet li qatt ma jikkonverġu.

Ivverifika, imbagħad agħmel biex jiflaħ restard

Ittestja servizz wieħed bla ħsara minn klijent remot ordinarju, iċċekkja r-rotta lura tal-mistieden, u kkonferma li servizz li ma tajtx permess jiġi miċħud u mhux bil-mod.

ss -lntp '( sport = :5432 )'
conntrack -L | grep 192.168.99.20

Imbagħad erġa' ibda servizz tal-VPN u n-netwerk tal-magna virtwali, u erġa' agħmel l-istess tliet verifiki. Rotta miżjuda bl-idejn tibqa' sal-boot li jmiss, u konfigurazzjoni li taħdem biss f'sessjoni sħuna mhix disinn. Ikteb it-tliet affarijiet flimkien: iż-żewġ prefissi, il-politika tat-tgħaddija u r-rotta tal-mistieden. Min iżid il-magna virtwali li jmiss se jkollu bżonn it-tlieta u xortieħor se jerġa' jiskoprihom kull konnessjoni falluta wara l-oħra.

Artikli relatati