Ma ku socodsiinayaa VPN-ka host-ka ama gudaha VM? Hagaha go'aanka

Dhisidda tunnel-ka gudaha martida iyo dhisidda host-ka labaduba waxay beddelaan ciwaanka uu browser-ku soo sheegayo, halkaasna ayuu isku ekaanshaha ku dhammaadaa. Tunnel-ka martidu leedahay waxa uu hayaa furayaashiisa, waddadiisa caadiga ah iyo xalliyahiisa gudaha kernel-ka martida, halka host-ku u gudbiyo baakadaha sirta ah hal ciwaan fog. Tunnel-ka host-ku leeyahay waa sawirka muraayadda: macmiilka host-ku wuxuu hayaa fadhiga oo isticmaala waddooyinka iyo siyaasadda, martiduna waxay amaahataa waxa soo baxa. Haddii aad doorato milkiile khaldan, calaamad kasta oo dambe waxay kuu dirtaa mashiinka khaldan. Laba amar ayaa su'aashan ku xalliya ilbiriqsi yar gudahood, qaybta kalena ee hagahan waa waxa aad ka qabato jawaabta.

Go'aanso milkiilaha ka hor inta aadan taaban macmiilka

Qaanuunku wuxuu ku saabsan yahay halka qoraalka sirta ah lagu soo saaro, ma aha mashiinka keliya ee muujiya calaamadda VPN. Haddii martidu soo saarto, martidu waxay u baahan tahay waddo shaqaynaysa oo u socota server-ka VPN oo wax kale kama baahna host-ka. Haddii host-ku soo saarto, martidu waxay u baahan tahay in waddada host-ka ay ka badbaaddo siyaasad kasta oo macmiilka host-ku ku soo rogo taraafikada gudaha.

Saddex su'aal ayaa badanaa kuu doorata meelaynta. Miyay taraafikada martidu ka badbaaddaa macmiil shirkadeed oo host-ka saaran? Markaas tunnel-ku wuxuu ku yaal gudaha martida. Miyay martiyo badan u baahan yihiin hal aqoonsi iyo hal ciwaan bixitaan? Markaas wuxuu ku yaal host-ka, iyadoo gudbinta si ula kac ah loo habeeyay. Miyay taraafikada martidu tahay inay gabi ahaan ka baxdo VPN-ka host-ka? Markaas tunnel-ka martida ayaa ah nidaamka keliya ee taas si dhismeed kuu siiya.

Jawaabta ku qor hal sadar oo ku xigta magaca VM: guest-owned ama host-owned. Shayaar lix mashiin ah oo shaybaadh ah qoraalkaas wuxuu kaydiyaa waqti ka badan tallaabo kasta oo hoos ku qoran, maxaa yeelay waxay ka hortagtaa inaad baarto tunnel aan waligiis ku jirin mashiinka aad gashay.

WSL1 iyo WSL2 waa laba xaaladood oo iska soo horjeeda

WSL1 maaha mashiin macmal ah, sidaas darteed su'aasha meelaynta inta badan way baaba'daa. Faylasha bin ee Linux-kiisu waxay ku shaqeeyaan stack-ga shabakadda Windows iyada oo loo marayo lakab tarjumaad, macmiilka VPN-ka Linux-na ma laha is-dhexgal madax banaan oo la habeeyo. Nidaamka shaqeeya waa tunnel dhanka Windows, iyadoo qaybintu isticmaalayso natiijada iyada oo aan waxba haysan.

WSL2 waa ka soo horjeeda. Wuxuu ku socodsiiyaa kernel dhab ah VM yar oo caawiye ah oo ka dambeeya beddelka macmal ah ee Hyper-V, booskiisa ciwaankuna waxaa lagu tarjumaa NAT iyada oo loo marayo adapterka dhanka host-ka. Sidaas darteed macmiilka Linux ee gudaha qaybinta wuxuu u dhaqmaa sida sanduuqa Linux jireed: wuxuu abuuraa tun0 ama wg0, wuxuu rakibaa waddooyinkiisa, wuuna shaqeeyaa. Guuldarradu waxay ku nooshahay dhanka host-ka. Marka macmiilka VPN-ka Windows uu ku xirmo siyaasad mamnuucaysa taraafikada shabakadaha gudaha, wuxuu u qaataa subnet-ka WSL2 sidii shabakad gudaha ah oo aan la aamini karin wuuna gooyaa waddada NAT. Markaas qaybintu waxay lumisaa DNS iyo gelitaanka bannaanka halka tunnel-keeda uu weli caafimaad qabo: wg show wuxuu soo sheegaa gacan-qabsasho, ip route wuxuu u muuqdaa sax, curl na wuu laalaadaa.

Wixii hagaajin ah ee aad isticmaali kartaa waxay ku xiran tahay dhismaha Windows. Kan hore waa ka-bax ku jira macmiilka host-ka oo loogu talagalay subnet-ka WSL, oo lagu daro hoos yimaada habaynta shabakadda gudaha ama tunnel-ka qaybsan ee macmiilka. Kan cusub, ee dhismayaasha Windows 11 ee taageera, waa shabakad muraayad ah: dhig networkingMode=mirrored qaybta [wsl2] ee %UserProfile%\.wslconfig, socodsii wsl --shutdown, qaybintuna waxay wadaagi doontaa is-dhexgalka host-ka halkii ay ka ahaan lahayd subnet NAT gaar ah. Habka muraayaddu wuxuu kaloo beddelaa dhaqanka localhost iyo dekedaha soo gala, sidaas darteed u qaado sidii guurid ee ma aha siddii beddel.

NAT, buundo iyo waxa host-ku arki karo

NAT hoostiisa, baakadaha tunnel-ka martida waxaa loo cinwaan galiyaa ciwaanka guud ee server-ka VPN waxayna ka baxaan adapterka host-ka iyagoo ah UDP ama TCP sir ah. Host-ku wuxuu arkaa hal qulqul iyo tirada byte-yadiisa, waxna kama oga meelaha gudaha ku jira. Buundo adapter hoostiisa martidu waxay leedahay aqoonsigeeda lakabka 2 ee LAN-ka jireed, waxay qaadataa dhaqaale DHCP u gaar ah, waxayna uga muuqataa siyaasad kasta oo ku salaysan MAC siddii qalab labaad. Midkoodna hababka ma u oggolaado host-ka inuu akhriyo xamuulka tunnel-ka; martida buundada ah ayaa si fudud uga palan badan shabakadda hareeraheeda.

Go'doomintuna waxay leedahay heer hoose. Martidu kama dhuuman karto mashiinka haysta xusuusteeda, qofkii kontoroola host-kuna wuxuu ka akhrin karaa furayaasha RAM-ka martida. Waxa tunnel-ka martidu ku siinayo waa xad marin iyo xad malware, ma aha difaac ka yimid qofka qabta laptop-ka. Hababka adapterka ee la diiwaan geliyay waa in la hayaa furan inta aad dooranayso, maxaa yeelay habku wuxuu beddelaa waxa host-ku arko iyo waxa LAN-ku arko.

Hagaha: meelee, habee, caddee

Socodsii afartan baaritaanood koodhan si isku xigta qolof marti cusub, oo ku joog kii ugu horreeya ee aan la mid ahayn milkiilaha aad qortay.

1. ip route get 1.1.1.1 oo soo celiya tun0 ama wg0 macneheedu waa milkiilaha martida, eth0 oo leh boodhka xiga ee gaar ah macneheedu waa milkiilaha host-ka.
2. resolvectl query example.com, ama akhri /etc/resolv.conf halka martidu aanay socodsiin adeeg xalliyo ah. Tunnel-ka qaada taraafikada laakiin aan DNS qaadin waa xaaladda badanaa la helo ee nus-habaysan.
3. Isbarbar dhig bixitaannada: curl -4 -s https://ifconfig.me gudaha martida iyo curl.exe -4 -s https://ifconfig.me host-ka. Cinwaanno kala duwan macneheedu waa martidu leedahay tunnel-ka, host-ka VPN-ka ku jira oo martidu muujinayso ISP-ga guriguna waa xaaladda aan waxba dhaxal lagu helin.
4. Ku celi labadaba -6. Tunnel-ka v4 oo keliya wuxuu daadiyaa v6 haddii macmiilku aanu xannibin ama marin, macmiillo badanna waxay si caadi ah uga tagaan v6 is-dhexgalka jireed.

Naqshadda gateway-ga host-ka, halka martiyo badan ay wadaagaan hal tunnel, host-ku waa inuu gudbiyo oo tarjumo. Linux host-ka kuwani waa saddex qaybood, haddii midkoodna maqan yahay martidu si aamusnaan ah ayuu ugu noqdaa waddadiisa caadiga ah:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o wg0 -j MASQUERADE
iptables -A FORWARD -i virbr0 -o wg0 -j ACCEPT
iptables -A FORWARD -i wg0 -o virbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT

Dhanka WireGuard, AllowedIPs ee lammaanaha host-ka waa inuu ku jiraa subnet-ka martida, tusaale ahaan 192.168.122.0/24, haddii kale baakadaha soo noqda marnaba ma imanayaan oo habayntu waxay u ekaanaysaa dhibaato darbi dab ah. Host-ka Windows wuxuu isla natiijada ku gaaraa isticmaalka Wadaagga Xidhiidhka Internet-ka ama qaanuun NAT oo ku yaal beddelka Hyper-V, wuxuuna u baahan yahay isla baaritaanka waddada soo noqoshada.

Marka qaabka uu weli furan yahay, shaxdan waxay daboolaysaa nidaamyada ugu badan ee soo baxa:

Laba tunnel, laba marti, iyo khilaafaadka dhexdooda

Marka aad u baahan tahay laba bixitaan isku mar, qaabka adkaysta waa hal tunnel marti kastaba. VM kastaa waxay haysataa waddadeeda caadiga ah iyo xalliyeheeda, host-ku wuxuu ku sii jiraa shabakadda caadiga ah, labada tunnelna marnaba kama murmaan isla shaxda marin. Laba marti oo buundo lagu xiro iskuma daro waddooyinkooda: shabakadda macmalka ah waxay bixisaa waddo, macmiil kastana wali waa in loo sheegaa in taraafikadan gudaha ah ay dhaafi karto tunnel-ka.

Socodsiinta tunnel host iyo tunnel marti si wada jir ah waa sharci, gudaha-gelin ula kac ahna mararka qaarkood waa waxa aad rabto, iyadoo martidu ka baxayso tunnel-keeda oo tunnel-kaasi ka baxayo kan host-ka. Waxa u beddela jajabku waa in aan qofna qorin meesha ugu dambeysa ee la gaari karo lakabkaas. Hayso liis laba tiir ah oo leh meel iyo milkiile, khilaafka wadduna wuxuu noqdaa raadin halkii uu ka ahaan lahaa galab daahfurid ah.

Xaqiiji, ka dibna soo-kabashada u dhaaf milkiilaha

Tijaabi gudaha martida oo isticmaal hannaan codsi cusub: taraafik, xallinta magacyada, labada qoys ee ciwaanka, iyo waxa dhaca marka tunnel-ku dhaco. Calaamadda VPN ee host-ka waxba kama sheegto daboolka martida, taasna waa xaqiijinta beenta ah ee ugu badan dhan gudhan.

Soo-kabashaduna waxay leedahay milkiilaha. Tunnel-ka martidu leedahay waxaa soo celiya macmiilka martida laftiisa iyo waddooyinka uu qoray. Naqshadda host-ku leeyahay waxaa soo celiya taxanaha kicinta host-ka, qaanuunnada gudbinta na kama badbaadaan dib-u-kicinta haddii aan unug ama hawlo bilow ah mar kale ku dabaqin. Sawirka la soo celiyay waa dhaqangelin, ma aha burin, maxaa yeelay wuxuu dib u keenaa aqoonsiyo hore iyo waddooyin hore oo la socda disk-ka. Ka hor inta aadan shaqada ku dhihin dhammaatay, xaqiiji in milkiiluhu weli la socdo sadarka aad qortay, in DNS iyo labada qoys ee ciwaanka ay ku xallinaan gudaha martida, in tunnel dhintay uu ka tago shabakad la isticmaali karo halkii uu ka ahaan lahaa dalool madow, iyo in dib-u-kicin ama soo-celin sawir ay soo saaraan isla xaaladda.