Tmexxi l-VPN fuq il-host jew ġewwa l-VM? Gwida tad-deċiżjoni

Il-bini tat-tunnel ġewwa l-mistieden u l-bini tiegħu fuq il-host it-tnejn ibiddlu l-indirizz li jirrapporta l-browser, u hemm tispiċċa x-xebh. Tunnel proprjetà tal-mistieden iżomm iċ-ċwievet tiegħu, ir-rotta default tiegħu u s-solver tiegħu fil-kernel tal-mistieden, filwaqt li l-host jibgħat pakketti kriptati lejn indirizz wieħed imbiegħed. Tunnel proprjetà tal-host huwa l-immaġni tal-mera: il-klijent tal-host iżomm is-sessjoni u japplika rotot u politika, u l-mistieden jissellef dak li joħroġ. Jekk tagħżel is-sid ħażin, kull sintomu wara jibgħatlek lejn il-magna ħażina. Żewġ kmandi jsolvu l-kwistjoni f'madwar minuta, u l-bqija ta' din il-gwida hija x'se tagħmel bit-tweġiba.

Iddeċiedi s-sid qabel ma tmiss il-klijent

Ir-regola hija dwar fejn jiġi prodott it-test ċifrat, mhux dwar liema magna turi ikona tal-VPN. Jekk il-mistieden jipproduċih, il-mistieden jeħtieġ rotta li taħdem lejn is-server tal-VPN u xejn ieħor mill-host. Jekk il-host jipproduċih, il-mistieden jeħtieġ li t-triq tal-host tgħaddi minn kull politika li l-klijent tal-host jimponi fuq it-traffiku lokali.

Tliet mistoqsijiet normalment jagħżlu t-tqegħid għalik. It-traffiku tal-mistieden irid jgħaddi minn klijent korporattiv fuq il-host? Allura t-tunnel huwa ġewwa l-mistieden. Diversi mistednin jeħtieġu kredenzjali waħda u indirizz wieħed tal-ħruġ? Allura huwa fuq il-host, b'forwarding ikkonfigurat apposta. It-traffiku tal-mistieden għandu jibqa' kompletament barra mill-VPN tal-host? Allura tunnel fil-mistieden huwa l-unika arranġament li jagħtik dan bil-bini.

Ikteb it-tweġiba f'linja waħda ħdejn l-isem tal-VM: guest-owned jew host-owned. F'laboratorju ta' sitt magni dik in-nota tiffranka aktar ħin mill-ebda pass hawn taħt, għax iżżommok milli tiddijanjostika tunnel li qatt ma kien fil-magna li dħalt fiha.

WSL1 u WSL2 huma każijiet opposti

WSL1 mhuwiex magna virtwali, għalhekk il-kwistjoni tat-tqegħid l-aktar tisparixxi. Il-binarji Linux tiegħu jaħdmu kontra l-munzell tan-netwerk ta' Windows permezz ta' saff ta' traduzzjoni, u klijent VPN Linux m'għandux interfaċċi indipendenti x'jikkonfigura. L-arranġament li jaħdem huwa tunnel fuq in-naħa ta' Windows, bid-distribuzzjoni tuża r-riżultat mingħajr ma tippossjedi xejn.

WSL2 huwa l-oppost. Iħaddem kernel veru f'VM awżiljarja ħafifa wara switch virtwali Hyper-V, u l-ispazju tal-indirizzi tiegħu jiġi NAT permezz ta' adapter min-naħa tal-host. Għalhekk klijent Linux ġewwa d-distribuzzjoni jġib ruħu bħal fuq kaxxa Linux fiżika: joħloq tun0 jew wg0, jinstalla r-rotot tiegħu, u jaħdem. Il-falliment jgħix fuq in-naħa tal-host. Meta klijent VPN ta' Windows jgħaqqad b'politika li timblokka traffiku fuq networks lokali, jittratta s-subnet WSL2 bħala network lokali mhux affidabbli u jaqta' t-triq NAT. Id-distribuzzjoni mbagħad titlef id-DNS u l-aċċess 'il barra filwaqt li t-tunnel tagħha stess għadu f'saħħtu: wg show jirrapporta handshake, ip route jidher korrett, u curl jiddendel.

Liema tiswija tista' tuża jiddependi fuq il-build ta' Windows. L-eqdem hija eċċezzjoni fil-klijent tal-host għas-subnet WSL, miżjuda taħt is-settings tan-network lokali jew tunnel maqsum tal-klijent. L-aktar ġdida, fuq builds ta' Windows 11 li jappoġġjawha, hija netwerking mera: poġġi networkingMode=mirrored fis-sezzjoni [wsl2] ta' %UserProfile%\.wslconfig, ħaddem wsl --shutdown, u d-distribuzzjoni taqsam l-interfaċċi tal-host minflok subnet NAT privata. Il-modalità mera tbiddel ukoll l-imġiba ta' localhost u l-ports li jidħlu, għalhekk ittrattaha bħala migrazzjoni u mhux bħala swiċċ.

NAT, pont u x'jista' jara l-host

Taħt NAT, il-pakketti tat-tunnel tal-mistieden jiġu indirizzati lejn l-indirizz pubbliku tas-server tal-VPN u joħorġu mill-adapter tal-host bħala UDP jew TCP kriptat. Il-host jara fluss wieħed u l-għadd tal-bytes tiegħu, xejn dwar id-destinazzjonijiet ġewwa fih. Taħt adapter bil-pont il-mistieden għandu l-identità tiegħu tas-saff 2 fuq il-LAN fiżika, jieħu l-kera DHCP tiegħu, u jidher għal kull politika bbażata fuq MAC bħala t-tieni apparat. L-ebda modalità ma tħalli lill-host jaqra l-load tat-tunnel; il-mistieden bil-pont huwa sempliċement ħafna aktar viżibbli għan-network madwaru.

L-iżolament ukoll għandu livell taħt. Mistieden ma jistax jinħeba mill-magna li tippossjedi l-memorja tiegħu, u min jikkontrolla l-host jista' jaqra ċwievet mill-RAM tal-mistieden. Dak li jagħtik tunnel fil-mistieden huwa fruntiera ta' routing u fruntiera ta' malware, mhux protezzjoni mill-persuna li żżomm il-laptop. Il-modi tal-adapter dokumentati jiswew li jkollok miftuħa waqt li tagħżel, għax il-modalità tbiddel kemm dak li jara l-host kif ukoll dak li jara l-LAN.

Gwida: poġġih, ikkonfigurah, ippruvah

Ħaddem dawn l-erba' kontrolli fl-ordni f'shell tal-mistieden ġdida, u ieqaf fl-ewwel waħda li ma taqbilx mas-sid li ktibt.

1. ip route get 1.1.1.1 li jirritorna tun0 jew wg0 ifisser proprjetà tal-mistieden, u eth0 b'qabża privata li jmiss ifisser proprjetà tal-host.
2. resolvectl query example.com, jew aqra /etc/resolv.conf fejn il-mistieden ma jħaddem l-ebda servizz tas-solver. Tunnel li jġorr traffiku imma mhux DNS huwa l-aktar stat nofs konfigurat komuni.
3. Qabbel il-ħruġ: curl -4 -s https://ifconfig.me fil-mistieden kontra curl.exe -4 -s https://ifconfig.me fuq il-host. Indirizzi differenti jfissru li l-mistieden jippossjedi t-tunnel, u host fuq il-VPN ma' mistieden li juri l-ISP tad-dar huwa l-każ li fih ma ntiret xejn.
4. Errepeti t-tnejn b'-6. Tunnel biss v4 inixxi v6 sakemm il-klijent ma jimblokkahx jew jirrotah, u ħafna klijenti jħallu v6 fuq l-interfaċċa fiżika b'mod default.

F'disinn ta' gateway fuq il-host, fejn diversi mistednin jaqsmu tunnel wieħed, il-host irid jibgħat u jittraduċi. Fuq host Linux dawk huma tliet biċċiet, u l-mistieden jerġa' lura bil-kwiet għar-rotta sempliċi tiegħu meta tkun nieqsa waħda minnhom:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o wg0 -j MASQUERADE
iptables -A FORWARD -i virbr0 -o wg0 -j ACCEPT
iptables -A FORWARD -i wg0 -o virbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT

Fuq in-naħa ta' WireGuard, l-AllowedIPs tas-sieħeb tal-host irid junkludi s-subnet tal-mistednin, pereżempju 192.168.122.0/24, inkella l-pakketti tar-ritorn qatt ma jaslu u s-setup jidher bħala problema tal-firewall. Host ta' Windows jikseb l-istess riżultat b'Internet Connection Sharing jew regola NAT fuq is-switch Hyper-V, u jeħtieġ l-istess kontroll tat-triq tar-ritorn.

Meta t-tqassim għadu miftuħ, din it-tabella tkopri l-arranġamenti l-aktar komuni:

Żewġ tunnels, żewġ mistednin, u l-kunflitti bejniethom

Meta jkollok bżonn żewġ ħruġ f'daqqa, il-mudell li jżomm huwa tunnel wieħed għal kull mistieden. Kull VM iżomm ir-rotta default u s-solver tiegħu, il-host jibqa' fuq in-network ordinarju, u ż-żewġ tunnels qatt ma jaqblu fuq l-istess tabella tar-routing. L-għaqda ta' żewġ mistednin b'pont lanqas ma tgħaqqad ir-rotot tagħhom: in-network virtwali jipprovdi triq, u kull klijent xorta jrid jingħadlu li dan it-traffiku lokali jista' jaqbeż it-tunnel.

It-tħaddim ta' tunnel tal-host u tunnel tal-mistieden flimkien huwa leġittimu, u t-tbeżbiż intenzjonat xi drabi huwa eżattament dak li trid, bil-mistieden joħroġ mit-tunnel tiegħu u dak it-tunnel joħroġ minn dak tal-host. Dak li jibdlu f'interruzzjoni huwa li ħadd ma kiteb liema punt tat-tarf għandu jintlaħaq minn liema saff. Żomm lista b'żewġ kolonni ta' destinazzjoni u sid, u kunflitt ta' rotot isir tfittxija minflok nofs ta' nhar ta' skoperta.

Ivverifika, imbagħad ħalli l-irkupru mas-sid

Ittestja minn ġewwa l-mistieden b'proċess ġdid tal-applikazzjoni: traffiku, soluzzjoni tal-ismijiet, iż-żewġ familji tal-indirizzi, u x'jiġri meta t-tunnel jaqa'. L-ikona tal-VPN tal-host ma tgħid xejn dwar il-kopertura tal-mistieden, u dik hija l-aktar konferma falza komuni f'dan il-qasam kollu.

L-irkupru wkoll huwa tas-sid. Tunnel proprjetà tal-mistieden jiġi restawrat mill-klijent stess tal-mistieden u r-rotot li kiteb. Disinn proprjetà tal-host jiġi restawrat mis-sekwenza tal-boot tal-host, u r-regoli tal-forwarding ma jibqgħux wara riavvjar sakemm unit jew task tal-bidu ma jerġgħux japplikawhom. Snapshot restawrat huwa installazzjoni, mhux treġġigħ lura, għax iġib lura kredenzjali qodma u rotot qodma flimkien mad-diska. Qabel ma tgħid li x-xogħol spiċċa, ikkonferma li s-sid xorta jaqbel mal-linja li ktibt, li d-DNS u ż-żewġ familji tal-indirizzi jiġu solvuti ġewwa l-mistieden, li tunnel mejjet iħalli network użabbli minflok toqba sewda, u li riavvjar jew restawr ta' snapshot jirriproduċu l-istess stat.