WireGuard f'LXC jew VM fuq Proxmox: fejn għandu jaħdem?

WireGuard jeħtieġ eżattament qalba waħda li tippossjedi l-interface tiegħu, u dan il-fatt isolvi l-biċċa l-kbira tad-dibattitu dwar it-tqegħid fuq Proxmox qabel ma l-prestazzjoni tidħol fil-kamra. Kontenitur LXC huwa veduta ta' spazju tal-ismijiet tal-qalba tal-host, filwaqt li VM jaqbad il-qalba tiegħu stess. Għalhekk il-mistoqsija utli mhix liema għażla hija eħfef, iżda liema qalba int lest tibdel u liema triq ta' rkupru tista' tgħix magħha. Wieġeb dan, u l-għażla bejn host, kontenitur jew VM normalment issir waħedha.

Mistieden LXC jaħdem ġewwa l-qalba tal-host

L-installazzjoni ta' wireguard-tools ġewwa kontenitur tagħtik il-programm ta' kontroll, mhux qalba privata. L-interface wg0 li toħloq tiġi rreġistrata fil-munzell tan-netwerk tal-host u tidher fil-lista tal-moduli tal-host. Huwa għalhekk li kontenitur jista' jgħaddi minn kull verifika tal-pakketti u xorta jonqos fl-ewwel kmand wg meta l-qalba tal-host ma jkollhiex il-modulu. U ir-referenza tal-kontenituri ta' Proxmox tiddokumenta dak il-mudell ta' qalba maqsuma flimkien mal-limiti tal-ispazju tal-ismijiet u tal-privileġġi li qed taħdem fihom.

L-awtorità hija t-tieni restrizzjoni. Li tneħħi interface u tqabbad indirizzi miegħu jeħtieġ drittijiet ta' amministrazzjoni tan-netwerk fl-ispazju tal-ismijiet li jippossjedih, u kontenitur mhux privileġġat jimmappja dawk id-drittijiet permezz tal-ispazju tal-ismijiet tal-utent tiegħu minflok ma jżommhom direttament. Qatt ma tersaq lejn privileġġ sħiħ bħala l-ewwel tweġiba; ara x'inhu fil-fatt mitlub mill-kontenitur, u mbagħad agħtih.

Il-qalba tal-host hija wkoll dipendenza maqsuma. Aġġornament tal-qalba ta' Proxmox ibiddel l-implimentazzjoni ta' WireGuard taħt kull kontenitur f'daqqa, li huwa konvenjenti sakemm aġġornament u l-aspettattivi ta' kontenitur ma jaqblux.

Host, kontenitur, VM: x'tippossjedi fil-fatt kull tqegħida

It-tqegħid fuq il-host iqiegħed il-VPN fin-netwerk proprju tal-hypervisor. Ir-rotot, ir-regoli tal-firewall u l-mina jsiru parti mill-irkupru tal-host, u żball hemmhekk jista' jieħu miegħu l-interface tal-amministrazzjoni. Dan huwa aċċettabbli għall-irrotar tal-infrastruttura fuq host li tilħaq permezz ta' console, u uġigħ fuq magna remota mingħajr aċċess barra l-faxxa.

Kontenitur iżomm is-servizz ippakkjat u jerġa' jinbeda filwaqt li xorta jissellef il-qalba tal-host. Huwa adattat għal servizz b'qalba maqsuma b'mod deliberat u jagħtik unità żgħira x'tibni mill-ġdid. Ma jagħtikx qalba indipendenti, għalhekk kull ħaġa li teħtieġ bini ta' modulu speċifiku turi 'l bogħod minn din l-għażla.

VM tiswa aktar memorja u sistema oħra x'titqatta', u bi skambju l-mina tikseb il-qalba tagħha, it-tabella tal-irrotar tagħha u konfini ta' snapshot. Meta l-VPN hija dik li terġa' lura wara bidla ħażina, dak is-snapshot jistħoqqlu l-ispiża żejda.

Tliet kundizzjonijiet li jagħżlu għalik

Jekk il-mina teħtieġ verżjoni tal-qalba jew karatteristika ta' WireGuard li l-host Proxmox ma jipprovdix, ieqaf hawn u uża VM. Ma tistax tinstalla qalba aktar ġdida f'kontenitur, u m'għandekx tissostitwixxi l-qalba tal-hypervisor biex tissodisfa mistieden wieħed.

Jekk il-mina hija l-gateway tas-sit għal prefissi LAN veri, staqsi min diġà jippossjedi r-rotta tar-ritorn. Kontenitur jista' jirrotta traffiku, iżda l-interfaces tiegħu joqogħdu fil-munzell tal-host, għalhekk il-host fl-aħħar iġorr parti mill-konfigurazzjoni, kemm jekk ippjanajt dan kif ukoll jekk le. It-tqegħid fuq il-host huwa onest dwar dan; it-tqegħid f'kontenitur spiss mhuwiex.

Imbagħad iżen ir-raġġ tal-impatt ta' żball. Li terġa' tibda kontenitur huwa rħis, li tirrestawra snapshot ta' VM huwa prevedibbli, u li ssewwi n-netwerk tal-host jista' jkun jeħtieġ aċċess fiżiku jew tal-console. L-għażla t-tajba hija dik li l-agħar każ tagħha tista' tassew tirkupra fis-siegħa li jiġri.

Ir-raba' mistoqsija rari tkun deċiżiva iżda tiswa li tingħad: xi ħaġa oħra fuq il-host għandha bżonn tara l-interface tal-mina? Jekk iva, it-tqegħid fuq il-host jew f'kontenitur iżomm dik il-viżibilità lokali, filwaqt li VM iġiegħlek tirrotta bejn il-mistieden u l-host.

Ipprova t-tqegħid qabel ma tgħaddi traffiku minnu

Wara l-installazzjoni, ikkonferma liema qalba tassew qed isservi l-interface u jekk il-kontenitur ingħatax biżżejjed awtorità biex iżommha:

$ pct config 101 | grep -E 'unprivileged|features'
unprivileged: 1
$ pct exec 101 -- wg show
interface: wg0
  listening port: 51820
$ pct exec 101 -- ip -4 addr show wg0
inet 10.60.0.2/24 scope global wg0

Imbagħad iċċekkja n-naħa tal-ippeġġjar mill-host, għax handshake waħdu jipprova biss li l-mina hija 'l fuq. Uża ip route get għal indirizz tal-klijent u kkonferma li l-qabża li jmiss u l-interface jaqblu mad-disinn, u li t-triq tar-ritorn teżisti fuq in-naħa l-bogħoda.

Ħalli l-użu bi sjieda miktuba: liema qalba ġġorr l-implimentazzjoni, liema spazju tal-ismijiet iżomm l-interface u liema prefissi l-gateway jista' jippeġġja. Dik is-sentenza tipprevjeni aktar inċidenti minn kwalunkwe paragun tal-prestazzjoni tat-tliet tqegħidiet.