VPN په کوربه کې یا د VM دننه چلول؟ د پرېکړې لارښود
د تونل مالک ټاکي چې څه څه پوښي. د کوربه یا مېلمه ځای وټاکئ، بیا یې د مېلمه په دننه کې د لارې، DNS او وتلو پلټنو سره تایید کړئ.
د تونل جوړول د مېلمه په دننه کې او د هغه جوړول په کوربه کې دواړه هغه پته بدلوي چې براوزر یې راپور ورکوي، او ورته والی همالته پای ته رسېږي۔ د مېلمه په مالکیت کې تونل خپلې کیلي، خپله اصلي لار او خپل حل کوونکی د مېلمه په کرنل کې ساتي، په داسې حال کې چې کوربه کوډ شوي بستې یوې لرې پتې ته استوي۔ د کوربه په مالکیت کې تونل د هغه آینه تصویر دی: د کوربه پېرودونکی ناسته ساتي او لارې او تګلاره پلي کوي، او مېلمه هغه څه پوروړی کېږي چې راوځي۔ که غلط مالک وټاکئ، هر وروستی نښه به تاسو غلطې ماشین ته واستوي۔ دوه حکمونه دا پوښتنه په شاوخوا یوه دقیقه کې حل کوي، او د دې لارښود پاتې برخه دا ده چې د ځواب سره څه وکړئ۔
له پېرودونکي سره د لاس وهلو دمخه مالک وټاکئ
قاعده د دې په اړه ده چې کوډ شوی متن چېرته تولیدېږي، نه د دې په اړه چې کوم ماشین د VPN نښه ښیي۔ که مېلمه یې تولیدوي، مېلمه د VPN سرور ته د کار کوونکې لارې ته اړتیا لري او له کوربه څخه بل څه نه۔ که کوربه یې تولیدوي، مېلمه باید د کوربه له لارې خپله لار له هرې هغې تګلارې سره وساتي چې د کوربه پېرودونکی په سیمه ییز ټرافیک لګوي۔
معمولاً درې پوښتنې ستاسو لپاره ځای ټاکي۔ آیا د مېلمه ټرافیک باید په کوربه کې د یو شرکت پېرودونکي څخه تېر شي؟ نو تونل د مېلمه په دننه کې دی۔ آیا څو مېلمنو ته یو اعتبارنامه او یوه د وتلو پته ته اړتیا ده؟ نو هغه په کوربه کې دی، چې لیږد په قصد جوړ شوی۔ آیا د مېلمه ټرافیک باید په بشپړ ډول د کوربه له VPN څخه بهر پاتې شي؟ نو د مېلمه تونل یوازینی هغه ترتیب دی چې دا په خپله جوړښت درکوي۔
ځواب د VM نوم ته څنګه په یوه کرښه کې ولیکئ: guest-owned یا host-owned۔ په شپږ ماشینونو لابراتوار کې هغه یادښت له هرې لاندې مرحلې څخه ډېر وخت خوندي کوي، ځکه تاسو له هغه تونل څخه د پلټنې مخه نیسي چې هیڅکله په هغه ماشین کې نه و چې تاسو ورته ننوتي یاست۔
WSL1 او WSL2 مخالف حالتونه دي
WSL1 مجازي ماشین نه دی، نو د ځای پوښتنه تر ډېره بریده ورکېږي۔ د هغه Linux بائنري فایلونه د ژباړې طبقې له لارې د Windows د شبکې سټیک پر وړاندې ځي، او Linux VPN پېرودونکی د تنظیم لپاره خپلواکې برخې نه لري۔ هغه ترتیب چې کار کوي په Windows اړخ کې تونل دی، او وېش پایله بې له دې چې څه مالک وي کاروي۔
WSL2 د دې برعکس دی۔ دا په Hyper-V مجازي سویچ شاته په سپک مرستندوی VM کې ریښتینی کرنل چلوي، او د هغه د پتو فضا د کوربه اړخ د اډاپټر له لارې NAT کېږي۔ نو ځکه د وېش په دننه کې Linux پېرودونکی لکه په فزیکي Linux بکس کې چلند کوي: tun0 یا wg0 جوړوي، خپلې لارې ږدي، او کار کوي۔ ناکامي د کوربه په اړخ کې اوسېږي۔ کله چې Windows VPN پېرودونکی د داسې تګلارې سره ونښلي چې په سیمه ییزو شبکو کې ټرافیک بندوي، WSL2 فرعي شبکه د نا باوري سیمه ییزې شبکې په توګه ګڼي او د NAT لاره پرې کوي۔ بیا وېش DNS او بهر ته لاسرسی له لاسه ورکوي، په داسې حال کې چې خپل تونل لا هم روغ دی: wg show د لاس ورکولو راپور ورکوي، ip route سم ښکاري، او curl ځوړند پاتې کېږي۔
کوم سمون کاروئ په Windows بیلډ پورې اړه لري۔ زوړ هغه د WSL فرعي شبکې لپاره په کوربه پېرودونکي کې استثنا ده، چې د پېرودونکي د سیمه ییزې شبکې یا وېشل شوي تونل تنظیماتو لاندې ورزیاتېږي۔ نوی، په هغو Windows 11 بیلډونو کې چې ملاتړ یې کوي، آینه شبکه ده: networkingMode=mirrored د %UserProfile%\.wslconfig په [wsl2] برخه کې کېږدئ، wsl --shutdown چل کړئ، او وېش به د خصوصي NAT فرعي شبکې پر ځای د کوربه برخې شریکې کړي۔ آینه حالت د localhost او راتلونکو پورټونو چلند هم بدلوي، نو هغه د ټوګل نه بلکې د کډې په توګه وګڼئ۔
NAT، پل او هغه څه چې کوربه یې لیدلی شي
د NAT لاندې د مېلمه تونل بستې د VPN سرور عامې پتې ته لیږل کېږي او د کوډ شوي UDP یا TCP په توګه د کوربه اډاپټر څخه وځي۔ کوربه یو بهیر او د هغه د بایټونو شمېر ویني، د دننه منزلونو په اړه هیڅ نه۔ د پلې اډاپټر لاندې مېلمه په فزیکي LAN کې خپله د 2-مې طبقې پېژندنه لري، خپله DHCP اجاره اخلي، او د MAC پر بنسټ هرې تګلارې ته د دوهم وسیلې په څېر ښکاري۔ هېڅ حالت کوربه ته اجازه نه ورکوي چې د تونل بار ولولي؛ پل شوی مېلمه یوازې د خپل شاوخوا شبکې لپاره ډېر ښکارېدونکی دی۔
جلاوالي هم لاندې پوله لري۔ مېلمه له هغه ماشین څخه نه شي پټېدلی چې د هغه حافظه یې مالک دی، او څوک چې کوربه کنټرولوي کولی شي د مېلمه له RAM څخه کیلي ولولي۔ هغه څه چې د مېلمه تونل یې درکوي د لارښوونې پوله او د زیانمن پروګرام پوله ده، نه د هغه کس څخه ساتنه چې لپټاپ لري۔ مستند شوي اډاپټر حالتونه د ټاکلو پر مهال خلاص ساتل ښه دي، ځکه حالت هماغه بدلوي چې کوربه یې ویني او هماغه چې LAN یې ویني۔
لارښود: ځای یې کړئ، تنظیم یې کړئ، ثابت یې کړئ
دا څلور پلټنې په نوي مېلمه شیل کې په ترتیب سره چل کړئ، او په لومړنۍ هغه کې ودرېږئ چې ستاسو له لیکل شوي مالک سره نه ځي۔
ip route get 1.1.1.1چېtun0یاwg0بېرته راوړي مېلمه-مالکیت دی، او له خصوصي بل ټوپ سرهeth0کوربه-مالکیت دی۔resolvectl query example.com، یا هلته چې مېلمه کومه حل کوونکې خدمت نه چلوي/etc/resolv.confولولئ۔ هغه تونل چې ټرافیک وړي خو DNS نه، هغه تر ټولو عامه نیمه تنظیم شوې حالت دی۔- وتل پرتله کړئ: په مېلمه کې
curl -4 -s https://ifconfig.meاو په کوربه کېcurl.exe -4 -s https://ifconfig.me۔ بېلې پتې یعنې مېلمه د تونل مالک دی، او په VPN کې کوربه له هغه مېلمه سره چې د کور ISP ښیي هغه حالت دی چې هیڅ هم په میراث نه دی رسېدلی۔ - دواړه له
-6سره تکرار کړئ۔ یوازې v4 تونل v6 تویوي، پرته له دې چې پېرودونکی یې بند یا لارښوونه وکړي، او ډېر پېرودونکي په اصلي ډول v6 په فزیکي برخه کې پرېږدي۔
په کوربه-ګېټوې ډیزاین کې، چېرته چې څو مېلمانه یو تونل شریکوي، کوربه باید لیږد او ژباړه وکړي۔ په Linux کوربه کې هغه درې ټوټې دي، او که یوه هم نه وي مېلمه په غلطۍ سره خپلې ساده لارې ته راستون شي:
sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o wg0 -j MASQUERADE
iptables -A FORWARD -i virbr0 -o wg0 -j ACCEPT
iptables -A FORWARD -i wg0 -o virbr0 -m state --state RELATED,ESTABLISHED -j ACCEPTد WireGuard په اړخ کې د کوربه ملګري AllowedIPs باید د مېلمنو فرعي شبکه ولري، لکه 192.168.122.0/24، که نه بیرته راتلونکې بستې هیڅکله نه رسیږي او ترتیب د دیوال د ستونزې په څېر ښکاري۔ Windows کوربه هماغه پایله د انټرنیټ اړیکې شریکولو یا په Hyper-V سویچ کې د NAT قاعدې سره ترلاسه کوي، او هماغه د بیرته لارې پلټنې ته اړتیا لري۔
کله چې ترتیب لا هم خلاص وي، دا جدول تر ټولو ډېر راتلونکي حالتونه پوښي:
| Situation | Owner | Check first |
|---|---|---|
| One VM, host also on a corporate VPN | Guest | Does the host client block local networks? |
| Six lab VMs, one exit address | Host plus forwarding | ip_forward, NAT rule, server AllowedIPs |
| Malware or research VM | Guest, NAT | Snapshot age and resolver state |
| Bridged VM on an office LAN | Guest | DHCP lease and port security |
دوه تونلونه، دوه مېلمانه، او د دوی تر منځ نښتې
کله چې یو ځای دوه وتل غواړئ، هغه بڼه چې ټینګ پاتې کېږي هر مېلمه لپاره یو تونل دی۔ هر VM خپله اصلي لار او حل کوونکی ساتي، کوربه په عادي شبکه کې پاتې کېږي، او دواړه تونلونه هیڅکله د یوې لارښوونې جدول سر نه جګړه کوي۔ دوه مېلمانه په پل سره نښلول هم د دوی لارې نه یوځای کوي: مجازي شبکه لاره برابروي، او هر پېرودونکي ته باید لا هم وویل شي چې دا سیمه ییز ټرافیک کولی شي تونل ته څنګ ووهي۔
د کوربه تونل او د مېلمه تونل یوځای چلول قانوني دي، او قصداً ځای په ځای کول ځینې وختونه هماغه وي چې تاسو یې غواړئ—مېلمه د خپل تونل څخه وځي او هغه تونل د کوربه تونل څخه وځي۔ هغه څه چې دا په خنډ بدلوي دا دي چې هیچا نه دی لیکلی چې کوم پای ټکی د کومې طبقې له لارې باید ورسېږي۔ د منزل او مالک یو دوه ستونی لیست وساتئ، او د لارې نښته به د یوې ماسپښین موندنې پر ځای یوه لټون شي۔
تایید یې کړئ، بیا بیا راګرځول مالک ته پرېږدئ
د مېلمه له داخله وازموئ د نوي اپلیکیشن بهیر سره: ټرافیک، د نومونو حل، دواړه پتې کورنۍ، او کله چې تونل ولوېږي څه پېږي۔ د کوربه VPN نښه د مېلمه د پوښښ په اړه هیڅ نه وایي، او په ټول دې برخه کې هماغه تر ټولو عامه درواغ تایید دی۔
بیا راګرځول هم د مالک دي۔ د مېلمه په مالکیت کې تونل د مېلمه خپل پېرودونکي او هغو لارو چې هغه لیکلې بیا جوړېږي۔ د کوربه په مالکیت کې ډیزاین د کوربه د بوټ ترتیب سره بیا جوړېږي، او د لیږد قاعدې له بیا پیل سره نه پاتې کېږي پرته له دې چې یوه unit یا د پیل دنده یې بیا پلي کړي۔ بیا راګرځول شوې سملاسي انځور ځای پرځای کول دي، نه لغوه کول، ځکه له ډیسک سره زاړه اعتبارنامې او زاړه لارې بیرته راوړي۔ له دې مخکې چې کار بشپړ وبولئ، تایید کړئ چې مالک لا هم ستاسو لیکل شوي کرښې سره سم دی، DNS او دواړه پتې کورنۍ د مېلمه په دننه کې حل کېږي، مړ تونل د تور سوري پر ځای د کار وړ شبکه پرېږدي، او بیا پیل یا د انځور بیا راګرځول هماغه حالت بیا تولیدوي۔