په Proxmox کې LXC یا VM کې WireGuard: دا چېرې باید وځغلول شي؟
WireGuard کولی شي پر Proxmox کوربه، په کانټینر یا په VM کې وځغلول شي۔ ټاکونکي عوامل د کرنل مالکیت، د انټرفېس کنټرول او بیا رغونه دي۔
WireGuard ته باید یوازې یو کرنل وي چې د هغې انټرفېس مالک وي، او دا حقیقت د Proxmox د ځای پر ځای کولو د بحث ډېره برخه د فعالیت له راتلو مخکې حل کوي۔ LXC کانټینر د کوربه کرنل د نوم فضا لید دی، خو VM خپل کرنل بوټ کوي۔ نو ګټوره پوښتنه دا نه ده چې کوم انتخاب سپک دی، بلکې دا ده چې تاسو کوم کرنل بدلولو ته تیار یاست او له کومې بیا رغونې لارې سره ژوند کولی شئ۔ د هغې ځواب ورکړئ، او د کوربه، کانټینر یا VM غوره توب معمولاً پخپله کېږي۔
LXC مېلمه د کوربه کرنل په دننه کې کار کوي
په کانټینر کې د wireguard-tools نصبول تاسو ته د کنټرول پروګرام درکوي، نه شخصي کرنل۔ هغه wg0 انټرفېس چې تاسو جوړوئ د کوربه د شبکې سټک کې ثبتېږي او د کوربه د ماډیولونو په لیست کې ښکاري۔ له همدې امله کانټینر کولی شي د بستې هره څېړنه تېره کړي او بیا هم په لومړي wg حکم کې ناکام شي، کله چې د کوربه کرنل کې هغه ماډیول نه وي۔ او د Proxmox کانټینرونو حواله هغه شریک-کرنل ماډل، ترڅنګ د هغو نوم فضا او واک سیمو مستند کوي چې تاسو پکې کار کوئ۔
وړتیا دوهم خنډ دی۔ د یوه انټرفېس پورته کول او پرې پتې تړل د هغې د نوم فضا په دننه کې د شبکې د ادارې حقونه غواړي، او بې واکه کانټینر هغه حقونه د خپل کارن نوم فضا له لارې نقشه کوي نه دا چې مستقیم یې وساتي۔ هیڅکله د لومړي ځواب په توګه بشپړ واک ته لاس مه وړې; وګورئ چې له کانټینر څخه په رښتیا څه غوښتل کېږي، بیا هغه ورکړئ۔
د کوربه کرنل هم شریکه انحصار دی۔ د Proxmox کرنل تازه کول د هر کانټینر لاندې د WireGuard تطبیق یوځل بدلوي، چې تر هغه وخته اسانه دی چې یوه تازه کول او د یوه کانټینر تمې سره سم نه وي۔
کوربه، کانټینر، VM: هر ځای پر ځای کول په رښتیا څه لري
پر کوربه ځای پر ځای کول VPN په خپله هایپر وایزر شبکه کې اېږدي۔ لارې، د فایر وال قاعدې او ټنل د کوربه د بیا رغونې برخه کېږي، او هلته یوه تېروتنه کولی شي د ادارې انټرفېس هم له ځانه بوځي۔ دا د بنسټیزې لارښوونې لپاره پر هغه کوربه د منلو وړ ده چې د کنسول له لارې ورته رسېږئ، او پر یوه لرې ماشین چې له باندې بهر لاسرسی نه لري دردناک دی۔
کانټینر خدمت بسته شوی او بیا پیلېدونکی ساتي، خو بیا هم د کوربه کرنل په پور اخلي۔ دا د پټې-کرنل خدمت لپاره چې په قصد کېږي ښه دی او تاسو ته د بیا جوړولو کوچنۍ واحد درکوي۔ دا خپلواک کرنل نه درکوي، نو هر هغه څه چې ځانګړي ماډیول جوړونې ته اړتیا لري له دې انتخاب څخه لرې اشاره کوي۔
| Placement | Kernel owner | Typical failure mode |
|---|---|---|
| Proxmox host | Hypervisor | A routing change breaks host management access |
| LXC container | Host kernel, container namespace | Missing capability or missing module at wg0 creation |
| Virtual machine | Guest kernel | Extra maintenance and a second patch cycle |
VM ډېره حافظه او د پیچ کولو لپاره بله سیسټم لګښت کوي، او په بدل کې ټنل خپل کرنل، خپله د لارښوونې جدول او د یوې سکرین شاټ پوله ترلاسه کوي۔ کله چې له خراب بدلون وروسته VPN هغه څه وي چې تاسو یې بېرته ګرځوئ، هغه سکرین شاټ د اضافي بار وړ دی۔
درې شرطونه چې ستاسو پر ځای غوره کوي
که ټنل ته د کرنل یوه نسخه یا د WireGuard یوه ځانګړنه غواړي چې د Proxmox کوربه یې نه برابروي، دلته ودروئ او VM وکاروئ۔ تاسو نشئ کولی په کانټینر کې نوې کرنل نصب کړئ، او نه باید د یوه مېلمه د خوښولو لپاره د هایپر وایزر کرنل بدل کړئ۔
که ټنل د اصلي LAN مختصاتو لپاره د سایټ دروازه وي، وپوښتئ چې د بېرته راتلو لار لا دمخه چا ته ده۔ کانټینر کولی شي ترافیک لارښوونه کړي، خو انټرفېسونه یې د کوربه په سټک کې ناست دي، نو کوربه په پای کې د ترتیباتو یوه برخه پورته کوي، که تاسو پلان کړی وي یا نه۔ پر کوربه ځای پر ځای کول په دې کې رښتیني دي; په کانټینر کې ځای پر ځای کول ډېری وخت نه۔
بیا د یوې تېروتنې د اغېز وړانګه وټاکئ۔ د کانټینر بیا پیلول ارزان دي، د VM د سکرین شاټ بیا رغول وړاندوینه کېدونکي دي، او د کوربه شبکې ترمیم کېدای شي فزیکي یا کنسول لاسرسی وغواړي۔ سم انتخاب هغه دی چې تر ټولو بد حالت یې په هماغه ساعت کې چې پېښېږي په رښتیا بیا رغولی شئ۔
څلورمه پوښتنه کمه وخت ټاکونکې وي خو د ویلو وړ ده: ایا پر کوربه بل څه ته اړتیا ده چې د ټنل انټرفېس وویني؟ که هو، پر کوربه یا په کانټینر کې ځای پر ځای کول هغه لید سیمه ییز ساتي، خو VM تاسو دې ته اړ باسي چې د مېلمه او کوربه ترمنځ لارښوونه وکړئ۔
د ترافیک د تېرولو مخکې ځای پر ځای کول ثابت کړئ
له نصب وروسته، تایید کړئ چې په رښتیا کوم کرنل انټرفېس ته خدمت کوي او ایا کانټینر ته د هغې د ساتلو لپاره کافي واک ورکړل شوی:
$ pct config 101 | grep -E 'unprivileged|features'
unprivileged: 1
$ pct exec 101 -- wg show
interface: wg0
listening port: 51820
$ pct exec 101 -- ip -4 addr show wg0
inet 10.60.0.2/24 scope global wg0بیا له کوربه د لېږد اړخ وګورئ، ځکه چې یوازې لاس ورکول یوازې دا ثابوي چې ټنل ولاړ دی۔ د کارن پتې لپاره ip route get وکاروئ او تایید کړئ چې بله پړاو او انټرفېس له ډیزاین سره سم دي، او د راتلو لار په هغه بل اړخ کې شته۔
پراختیا د لیکلي مالک سره پرېږدئ: کوم کرنل تطبیق پورته کوي، کومه نوم فضا انټرفېس ساتي، او دروازې ته کوم مختصات لېږل اجازه لري۔ هغه یوه جمله له دریو ځایونو د هر ډول پرتلې څخه ډېرې پېښې مخه نیسي۔