د NAT او bridged د VM شبکې: کوم یو د VPN ترافیک لېږدوي؟
د NAT میلمانه د کوربه تونل یوازې هغه وخت پور کوي چې کلاینټ د لارې له مخې تونل وکړي؛ bridged میلمانه پخپله لار مومي. میلمه وآزمویاست، بیا سمه طریقه وټاکئ.
Bridged او NAT د یوې او هماغه میلمې د ستاسو VPN سره د نښلولو دوه لارې نه دي؛ دوی دا پرېکړه کوي چې د میلمي بنډلې له هر تونل څخه مخکې چا پورې اړه لري۔ د NAT په حالت کې هایپر وایزر د میلمي ترافیک بیا لیکي او د کوربه اړخ له کوډ څخه یې وباسي، نو میلمه هغه لار وهي چې کوربه هماغه کوډ ته ورکوي. د bridged په حالت کې میلمه په فزیکي برخه کې خپله د لینک طبقې پېژندنه ترلاسه کوي او خپله اصلي دروازه ټاکي، چې دا د کوربه تونل ورته بې اهمیته کوي، پرته له دې چې د LAN روټر پخپله تونل کوي. زه د VM د VPN په توګه د لیدلو پر ځای دې ته د دې پوښتنې په توګه ګورم چې د هماغه میلمي اصلي لار چېرته اشاره کوي. لاندې ازموینه په هر حالت کې څو دقیقې وخت نیسي او پرته له اټکل پایله معلوموي.
NAT میلمه د هایپر وایزر کوډ تر شا ساتي، چېرته چې د کوربه لارې پلي کېږي
په VirtualBox کې د NAT میلمه په 10.0.2.0/24 کې ده، د 10.0.2.2 په مجازي دروازې، د 10.0.2.3 په DNS پراکسي، او فزیکي شبکې ته خپله هېڅ لاره نه لري. وتونکي بنډلې د NAT ماشین اخلي، داسې بیا لیکي چې سرچینه کوربه وي، او کوربه IP سټک ته یې سپاري. له هغه ځایه د میلمي ترافیک د کوربه یوه بهیر دی، او د لارې پلټنه د منزل له مخې کېږي: هغه کلاینټ چې بشپړ تونل لري او په کوربه 0.0.0.0/1 او 128.0.0.0/1 نصبوي، پرته له دې چې پوه شي VM شته، نیسي یې. د Oracle د VirtualBox شبکې فصل دا اصلي ارزښتونه لیستوي که غواړئ په خپل بیلډ کې پته وګورئ.
د libvirt اصلي شبکه له 192.168.122.0/24 څخه هماغه ځای ته رسېږي، چېرته چې dnsmasq کرایې ویشي او کوربه د فرعي شبکې ماسک کوي، نو د میلمي بنډلې بیا د کوربه د لارې پرېکړې ته رسېږي. استثنا هغه کلاینټ دی چې ترافیک د لارې پر ځای د پروسې له مخې ټاکي. که د ویشل شوي تونل لیست یوازې ستاسو براوزر ولري، NAT ماشین په دې لیست کې نه دی، او میلمه له ماشین څخه بې تونل وځي، خو د کوربه براوزر لا هم پټ ښکاري. یوه فرعي شبکه، برعکس پایله.
Bridged میلمي ته په فزیکي LAN کې خپل ځای ورکوي
Bridged میلمه یوه مجازي NIC ترلاسه کوي چې ریښتیني اډاپټر ته نښتې ده، خپل MAC پته اخلي، او له فزیکي شبکې څخه د DHCP کرایه اخلي. د هغې اصلي دروازه د LAN روټر دی، نه هایپر وایزر، او د هغې فریمونه له هماغه اډاپټر له لارې تار ته ځي. د کوربه تونل لارې د کوربه په جدول کې دي او هېڅکله نه ګوري، ځکه چې د میلمي فریمونه هېڅکله د کوربه IP سټک ته نه ننوځي.
دا دواړو خواوو ته پرې کوي. mDNS او SMB کتنه کار پیلوي ځکه چې میلمه د LAN خپرېدونکی ترافیک ویني، او میلمه د هماغې برخې نورو ماشینونو لپاره د کوربه فایر وال پرته د لاسرسي وړ ګرځي. Bridging د موجوده تونل له لارې د میلمي د تېرولو لاره هم نه ده: VM د کوربه WireGuard یا OpenVPN انټرفیس ته نښلول هغه کار نه دی چې VirtualBox یا libvirt ستاسو لپاره کوي. که bridged میلمه باید تونل شي، تونل باید په هماغه LAN کې چېرته پای ومومي.
هغه ازموینه چې بحث پای ته رسوي
په دواړو حالتونو کې هماغه ګوتې وهئ او ځوابونه ولیکئ:
- په کوربه باندې،
curl -s https://ifconfig.meعامه v4 پته درکوي. - په میلمه کې، هماغه کمانډ، او زیات
ip routeپه Linux یاGet-NetRoute -DestinationPrefix 0.0.0.0/0په Windows کې د اصلي دروازې لپاره. - د حل کوونکي پېژندنه:
resolvectl statusیاcat /etc/resolv.confپه میلمه کې، تر څو وګورئ چې 10.0.2.3 ته اشاره کوي که LAN سرور ته. - د پتو کورنۍ:
ip -6 addr show scope globalاو یوه v6 غوښتنه، ځکه چې v4 تونل د هغې نړیوالې v6 پتې په اړه هېڅ نه وایي چې میلمه یې لري.
یو شان عامه پتې معنا لري چې میلمه د کوربه په لار کې ده. هغه پته چې د LAN د عادي وتلو سره سمه وي معنا لري چې نه ده. هغه ګام چې خلک پرېږدي کنټرول دی: د کوربه تونل ښکته کړئ او د میلمي غوښتنه بیا کړئ. که میلمه لا هم ګرځي، نو هېڅکله د کوربه تونل ته اړ نه وه، هر څه چې د حالت نوم وایي. د NAT په حالت کې باید د کوربه تونل د ښکته کېدو سره میلمه انټرنېټ له لاسه ورکړي، پرته له دې چې کلاینټ د تونل څخه بهر ترافیک ته اجازه ورکړي، چې دا پخپله د پوهېدو وړ ده.
دوه نښې درواغ وایي. بریالی ping د لاسرسي ثبوت دی، نه د وتلو لار. او DNS کېدای شي د کوربه حل کوونکي له لارې د 10.0.2.3 پراکسي ځواب شي، پداسې حال کې چې TCP بله لار وهي، او همداسې یوه پاڼه پرانیستل کېږي خو ننوتل هېڅکله نه بشپړېږي.
کوم حالت د کار لپاره سم دی
حالت د لارې پرېکړه ده، نو د اړتیا له مخې یې وټاکئ، نه د عادت له مخې:
| Requirement | Mode that fits |
|---|---|
| Every guest flow must exit through the host tunnel | NAT, with a host client that tunnels by route, verified from inside the guest |
| The guest needs its own VPN account or profile | Bridged, or NAT with a client running inside the guest, not both |
| The guest must serve SSH, SMB, or a dev server to the LAN | Bridged; NAT needs a port forward, which does not change the outbound path |
| The guest must stay invisible to the LAN | NAT; a bridged guest is another host on the segment |
| The guest needs a real public IPv6 address | Bridged; VirtualBox NAT mode has no IPv6 forwarding |
| Isolation from the LAN with access to the host | Host-only adapter, not NAT |
لومړی کرښه هغه ځای دی چې خلک پرې نښلي: NAT او د کوربه بشپړ تونل کلاینټ میلمه رېښتیا پټوي، خو یوازې تر هغه چې کلاینټ د لارې له مخې تونل کوي او د کوربه پورتنۍ لینک هماغه تونل وي. کلاینټ یوازې براوزر ته اجازه ورکوونکي لیست ته واړوئ، پټون چېرته هم تېروتنه پرته ورکېږي. څلورم کرښه برعکس تېروتنه ده، هغه میلمه چې د آسانتیا لپاره bridged شوې او په خپله په دفتر LAN کې SMB یا SSH ته ځواب وایي.
هغه نیمګړتیاوې چې VPN ته منسوبېږي
په Windows کې د NAT ژباړه د VirtualBox VM پروسې دننه پرمخ ځي، نو د هر اپلیکیشن کلاینټ باید هماغه عکس په لیست کې ولري، نه د مجازي ماشینونو لپاره عمومي قاعده. کله چې د کلاینټ تازه کول د پروسو لیست بیا جوړ کړي، NAT میلمانه لومړی پټون له لاسه ورکوي، او راپور داسې اورېدل کېږي لکه VM چې LAN ته رسېږي خو انټرنېټ ته نه، په داسې حال کې چې کوربه سم دی.
Wi-Fi ته bridging بله مشهوره ستونزه ده. د لاسرسي نقطې په نادره توګه هغه فریمونه لېږدوي چې بهرنۍ سرچینې MAC ولري، نو wlan0 ته bridge یا سملاسي ناکامېږي یا تر هغه کار کوي چې د AP د کلاینټ جلاوالي پیل شي او یې وغورځوي. VirtualBox به لا هم بې تار اډاپټر په لیست کې وړاندې کړي. که کوربه په Wi-Fi وي او میلمه باید bridged وي، د اټکل پر ځای ازموینه پلان کړئ.
MTU دریم دی. Bridged میلمه د LAN 1500 بایټ MTU ساتي، او که خپل WireGuard کلاینټ په 1420 وچلوي، لوی TLS لاسونه ودرېږي خو کوچنۍ غوښتنې بریالۍ وي. د NAT لاندې د کوربه تونل MTU د کوربه ستونزه ده، خو میلمه لا هم په 1500 باور لري، او UDP چې don't-fragment بټ ولري همداسې تورې سوري ته ځي.
حالت ولیکئ، بیا له هر اډاپټر بدلون وروسته بیا وګورئ
حالت، هغه کوربه انټرفیس چې bridge کاروي، د میلمي اصلي دروازه، د هغې حل کوونکی، او د هغې v4 او v6 وتلې پتې ثبت کړئ. هماغه ثبت بل ناکامي ارزانه کوي: کله چې لیپ ټاپ له ډاک Wi-Fi ته ځي، bridged میلمه bridge بل فزیکي اډاپټر ته تعقیبوي او کېدای شي په بله فرعي شبکه کې بیا کرایه واخلي، خو NAT میلمه خپله 10.0.2.x پته ساتي او په چوپتیا بله پورتنۍ لینک میراث اخلي.
د ټیکټ د بندولو دمخه دا هر یو تایید کړئ:
- د میلمي وتلې پته د کوربه د وتلې پتې څخه توپیر لري، نو د کوربه په تونل کې نه ده.
- حل کوونکی 10.0.2.3 پراکسي یا LAN سرور دی، او پوهېږئ چې کوم یو ځواب ورکړ.
- په میلمه کې نړیواله v6 پته نه شته که د تونل ډیزاین یوازې v4 وي.
- د کوربه تونل د ښکته کېدو سره میلمه ګرځېدل بندوي، یا اوس پوهېږئ چې هېڅکله پرې تړلې نه وه.
- میلمه د LAN خپرېدونکی ترافیک نه ویني چې لیدل یې ورته نه ښایي.