VirtualBox NAT jew bridge: fejn jispiċċa l-VPN tal-VM

Żewġ mistoqsijiet differenti jiġu flimkien kull darba li magna virtwali tħaddem klijent VPN, u t-tweġibiet tagħhom differenti. L-ewwel huwa jekk tunnel ġewwa l-mistieden jipproteġix il-host, u t-tieni huwa jekk tunnel fuq il-host ikoprix il-mistieden. Il-mod tal-adapter jiddeċiedi t-tnejn, aktar mis-software VPN innifsu. Adapter NAT jagħmel il-host il-punt tat-tarf viżibbli, filwaqt li adapter bridge iqiegħed il-mistieden fuq in-netwerk bl-indirizz tiegħu stess.

Min fil-fatt itemm is-sessjoni encrypted

Sessjoni encrypted tappartjeni lill-magna li ttemmha, u dik hi l-mistieden meta l-klijent jaħdem ġewwa l-VM. Min-naha ta' dak it-tunnel jgħaddi biss it-traffiku li jidħol fl-adapter virtwali tal-mistieden, u l-hypervisor qatt ma jgħaddi magna oħra mill-mistieden minn jeddu. Għalhekk il-mistieden jista' jżomm tunnel jaħdem waqt li l-host jibbrawżja fil-miftuħ. Il-maqlub mhuwiex simetriku, u dik l-asimetrija hija l-parti li l-biċċa l-kbira tal-gwidi jiżbaljaw fiha.

Liema indirizz jara n-netwerk ta' barra hija l-mistoqsija li twieġeb il-mod tal-adapter. Ladarba dan jiġi deċiż, il-kopertura tieqaf tkun kwistjoni ta' politika u ssir mekkanika. Kollox hawn taħt joħroġ minn dawk iż-żewġ fatti.

NAT jerġa' jikteb il-mistieden sakemm jixbah lill-host

B'NAT, l-hypervisor jerġa' jikteb kull pakkett tal-mistieden għall-indirizz tal-host qabel ma jasal għall-ewwel switch. Dak it-traffiku mbagħad jingħata lill-istack tan-netwerk tal-host stess, fejn isegwi t-tabella tar-routing tiegħu, inkluż rotta default li hija tal-proprjetà ta' tunnel fuq il-host. Mistieden NAT għalhekk ikun kopert minn tunnel fuq il-host mingħajr ebda konfigurazzjoni, li huwa l-oppost ta' dak li jissuġġerixxi l-każ mill-mistieden għall-host.

# on the host: adapter mode and NAT DNS behaviour
VBoxManage showvminfo "lab-vm" | grep -i -E "nic|nat"
VBoxManage modifyvm "lab-vm" --natdnshostresolver1 on

Mistieden li jħaddem il-klijent tiegħu stess itemm dak it-tunnel ġewwa l-mistieden, u t-traffiku encrypted imbagħad joħroġ mill-istess kitba mill-ġdid, għalhekk l-applikazzjonijiet tal-host iżommu t-triq tagħhom u l-indirizz tal-ħruġ tagħhom. VirtualBox f'dan il-mod għandu wkoll ir-riżoluzzjoni tal-ismijiet, u jgħaddi l-mistoqsijiet tal-mistieden mill-magna tiegħu stess sakemm --natdnshostresolver1 ma jkunx attivat. L-attivazzjoni tiegħu tgħaddi t-tfittxijiet tal-mistieden lir-resolver tal-host, li jsewwi r-riżoluzzjoni meta l-veduta tal-host stess tkun tajba u bl-istess mod tgħaddi resolver li jista' jeżisti biss ġewwa tunnel. Il-VM trid tkun mitfija qabel ma jinbidel is-setting, u s-setting hija tal-adapter mhux tas-software tal-mistieden.

Il-bridge jagħti lill-mistieden il-kirja tiegħu u l-espożizzjoni tiegħu

Il-bridge jgħaddi l-frames tal-mistieden għas-segment fiżiku, għalhekk DHCP jagħtih kirja u n-netwerk jittrattah bħala host separat. Kull mistieden bil-bridge jista' jżomm tunnel indipendenti bir-rotta default tiegħu, u t-tabella tal-host qatt ma tinbidel. Il-prezz hija l-espożizzjoni: il-mistieden iwieġeb għall-broadcasts, jidher fit-tabelli tal-ġirien, u jaqa' taħt is-sigurtà tal-portijiet tas-switch u l-iżolament tal-klijenti wireless. Tunnel fuq il-host lanqas ma jkopri dan l-arranġament, għax il-frames tal-mistieden qatt ma jgħaddu mill-istack tal-host.

Dik id-differenza mill-każ NAT jixirqilha tingħad b'mod ċar minflok titħalla bħala implikazzjoni. Mistieden bil-bridge jeħtieġ il-klijent tiegħu u l-kredenzjali tiegħu kull darba li t-traffiku tiegħu jrid juża tunnel. Fejn il-mistieden irid jibqa' inviżibbli għan-netwerk lokali, NAT jew netwerk intern biss b'routing ikkontrollat huwa d-disinn aħjar.

Għaliex il-mistieden ma jistax ikun il-gateway tal-host

Is-self tat-tunnel ta' mistieden lill-host m'għandux switch appoġġjat fl-ebda miż-żewġ hypervisors il-kbar. Il-host m'għandux rotta fit-tunnel tal-mistieden u l-ebda regola ta' traduzzjoni li tipponta lejh, għalhekk it-traffiku tal-mistieden u tal-host jibqgħu flussi separati b'sidien separati. Dik id-direzzjoni tfalli irrispettivament mill-mod tal-adapter.

Is-sostituti li jaħdmu huma l-forwarding u l-proxies. Forwarding lokali SSH iħalli lill-host jgħaqqad mal-loopback tiegħu waqt li l-mistieden iġorr il-fluss fit-tunnel, li jkopri servizzi TCP mingħajr ma jinstalla t-tieni klijent. Li t-traffiku IP tal-host stess juża t-tunnel tal-mistieden minflok jeħtieġ router ġewwa l-mistieden flimkien ma' rotta espliċita fuq il-host u traduzzjoni fuq il-host. Dak huwa disinn tan-netwerk żgħir u mhux kaxxa tal-immappjar, u jeħtieġ pjan għat-triq lura. Meta l-mistieden jeżisti biss biex iħaddem il-klijent, poġġi l-klijent fuq il-host u neħħi l-qabża żejda.

ssh -N -f -L 8080:internal-host.example:80 user@lab-vm

Ir-resolvers u r-rotot ma jaqsmu l-fruntiera

Id-DNS isegwi l-adapter li rċieva l-għażla, għalhekk il-mistieden ma jirtx ir-resolver tat-tunnel tal-host u l-host qatt ma jsir jaf bis-server li ntefa' lejn il-mistieden. Il-valuri dhcp-option DNS li ntefgħu japplikaw għall-interface li aċċettathom, u għalhekk mistieden bil-bridge mingħajr klijent ma jistax jirriżolvi ismijiet interni. Mistieden NAT normalment juża l-immaniġġjar DNS tal-hypervisor minflok, u d-differenza tidher f'kmand wieħed għal kull ambjent.

# on the host
VBoxManage showvminfo "lab-vm" | grep -i -E "nic|nat"
# inside a Linux guest
ip -4 route
resolvectl status
# inside a Windows guest
Get-DnsClientServerAddress

Aqra r-resolver u r-rotta ġewwa l-mistieden qabel ma tassumi li waħda minnhom issegwi l-host. Żid ir-resolver tat-tunnel mal-adapter tal-mistieden stess meta l-ismijiet interni jridu jiġu riżolti hemmhekk, imbagħad ivverifika b'isem li jeżisti biss wara t-tunnel. Irreġistra l-mod tal-adapter, is-sid tat-tunnel u s-sors tar-resolver għal kull VM, għax dawn it-tliet fatti jwieġbu kważi kull mistoqsija aktar tard. Hypervisors oħra jibdlu l-ismijiet tal-modi u jħallu l-prinċipju intatt.