VPN-ஐ ஹோஸ்ட்டில் இயக்கவா அல்லது VM-க்குள் இயக்கவா? முடிவு வழிகாட்டி
சுரங்கப்பாதையின் உரிமையாளர் எது எதை மூடுகிறது என்பதை முடிவு செய்கிறார். ஹோஸ்ட் அல்லது விருந்தினரில் இடத்தைத் தேர்ந்தெடுத்து, பின்னர் விருந்தினருக்குள் பாதை, DNS மற்றும் வெளியேற்ற சோதனைகளால் உறுதிப்படுத்துங்கள்.
விருந்தினருக்குள் சுரங்கப்பாதையை உருவாக்குவதும் அதை ஹோஸ்ட்டில் உருவாக்குவதும் இரண்டுமே உலாவி தெரிவிக்கும் முகவரியை மாற்றுகின்றன, ஒற்றுமை அங்கேயே முடிகிறது. விருந்தினரின் உரிமையிலான சுரங்கப்பாதை அதன் விசைகள், அதன் இயல்புநிலை பாதை மற்றும் அதன் தீர்வியை விருந்தினரின் கர்னலுக்குள் வைத்திருக்கிறது, ஹோஸ்ட் மறைக்கப்பட்ட பொதிகளை ஒரு தொலை முகவரிக்கு அனுப்புகிறது. ஹோஸ்ட்டின் உரிமையிலான சுரங்கப்பாதை அதன் கண்ணாடிப் பிம்பம்: ஹோஸ்ட் கிளையண்ட் அமர்வை வைத்திருக்கிறது, பாதைகளையும் கொள்கையையும் பயன்படுத்துகிறது, விருந்தினர் வெளியே வருவதை கடன் வாங்குகிறது. தவறான உரிமையாளரைத் தேர்ந்தெடுத்தால் அடுத்தடுத்த ஒவ்வொரு அறிகுறியும் உங்களை தவறான இயந்திரத்துக்கு அனுப்பும். இரண்டு கட்டளைகள் இந்தக் கேள்வியை ஒரு நிமிடத்தில் தீர்க்கின்றன, இந்த வழிகாட்டியின் மீதி பகுதி பதிலுடன் என்ன செய்வது என்பது.
கிளையண்டைத் தொடுவதற்கு முன் உரிமையாளரை முடிவு செய்யுங்கள்
விதி என்பது மறைக்கப்பட்ட உரை எங்கே உருவாக்கப்படுகிறது என்பதைப் பற்றியது, எந்த இயந்திரம் VPN சின்னத்தைக் காட்டுகிறது என்பதைப் பற்றியது அல்ல. விருந்தினர் அதை உருவாக்கினால், விருந்தினருக்கு VPN சேவையகத்துக்கு வேலை செய்யும் பாதை தேவை, ஹோஸ்ட்டிடமிருந்து வேறு எதுவும் தேவையில்லை. ஹோஸ்ட் அதை உருவாக்கினால், ஹோஸ்ட் கிளையண்ட் உள்ளூர் போக்குவரத்துக்கு விதிக்கும் எந்தக் கொள்கையையும் தாண்டி விருந்தினரின் ஹோஸ்ட்-பாதை தாக்குப்பிடிக்க வேண்டும்.
பொதுவாக மூன்று கேள்விகள் உங்களுக்காக இடத்தைத் தேர்ந்தெடுக்கின்றன. விருந்தினரின் போக்குவரத்து ஹோஸ்ட்டில் உள்ள நிறுவன கிளையண்டைக் கடக்க வேண்டுமா? அப்படியானால் சுரங்கப்பாதை விருந்தினருக்குள் உள்ளது. பல விருந்தினர்களுக்கு ஒரு சான்று மற்றும் ஒரு வெளியேற்ற முகவரி தேவையா? அப்படியானால் அது ஹோஸ்ட்டில் உள்ளது, அனுப்புதல் வேண்டுமென்றே அமைக்கப்பட்டது. விருந்தினரின் போக்குவரத்து ஹோஸ்ட்டின் VPN-க்கு வெளியே முழுவதுமாக இருக்க வேண்டுமா? அப்படியானால் விருந்தினருக்குள் சுரங்கப்பாதை மட்டுமே அதை கட்டமைப்பால் தருகிறது.
பதிலை VM பெயருக்கு அருகில் ஒரு வரியில் எழுதுங்கள்: guest-owned அல்லது host-owned. ஆறு இயந்திரங்கள் கொண்ட ஆய்வகத்தில் அந்தக் குறிப்பு கீழே உள்ள எந்தப் படிநிலையையும் விட அதிக நேரத்தைச் சேமிக்கிறது, ஏனெனில் நீங்கள் உள்நுழைந்த இயந்திரத்தில் ஒருபோதும் இல்லாத சுரங்கப்பாதையை ஆராய்வதிலிருந்து அது தடுக்கிறது.
WSL1 மற்றும் WSL2 எதிர்மாறான நிலைகள்
WSL1 மெய்நிகர் இயந்திரம் அல்ல, எனவே இடக் கேள்வி பெரும்பாலும் ஆவியாகிறது. அதன் Linux இருமங்கள் மொழிபெயர்ப்பு அடுக்கு வழியாக Windows இன் வலைப்பின்னல் அடுக்குக்கு எதிராக இயங்குகின்றன, Linux VPN கிளையண்டுக்கு அமைக்க தனித்துவமான இடைமுகங்கள் இல்லை. வேலை செய்யும் அமைப்பு Windows பக்கத்தில் உள்ள சுரங்கப்பாதை, விநியோகம் எதையும் உரிமை கொள்ளாமல் முடிவைப் பயன்படுத்துகிறது.
WSL2 இதற்கு நேர் எதிரானது. இது Hyper-V மெய்நிகர் சுவிட்சுக்குப் பின்னால் இலகுவான உதவி VM இல் உண்மையான கர்னலை இயக்குகிறது, அதன் முகவரி இடம் ஹோஸ்ட் பக்க அடாப்டர் வழியாக NAT ஆகிறது. எனவே விநியோகத்துக்குள் உள்ள Linux கிளையண்ட் இயற்பியல் Linux பெட்டியில் இருப்பது போல செயல்படுகிறது: tun0 அல்லது wg0 உருவாக்கி, தன் சொந்த பாதைகளை நிறுவி, வேலை செய்கிறது. தோல்வி ஹோஸ்ட் பக்கத்தில் வாழ்கிறது. Windows VPN கிளையண்ட் உள்ளூர் வலைப்பின்னல்களில் போக்குவரத்தைத் தடுக்கும் கொள்கையுடன் இணையும்போது, WSL2 துணை வலைப்பின்னலை நம்பமுடியாத உள்ளூர் வலைப்பின்னலாகக் கருதி NAT பாதையை வெட்டுகிறது. அப்போது விநியோகம் DNS மற்றும் வெளிப்புற அணுகலை இழக்கிறது, அதன் சொந்த சுரங்கப்பாதை இன்னும் ஆரோக்கியமாக இருக்கும்போது: wg show கைக்குலுக்கலைத் தெரிவிக்கிறது, ip route சரியாகத் தெரிகிறது, curl தொங்குகிறது.
எந்தத் திருத்தத்தைப் பயன்படுத்தலாம் என்பது Windows கட்டமைப்பைப் பொறுத்தது. பழையது WSL துணை வலைப்பின்னலுக்கான ஹோஸ்ட் கிளையண்டில் உள்ள விதிவிலக்கு, கிளையண்டின் உள்ளூர்-வலைப்பின்னல் அல்லது பிரிக்கப்பட்ட-சுரங்கப்பாதை அமைப்புகளின் கீழ் சேர்க்கப்படுகிறது. புதியது, இதை ஆதரிக்கும் Windows 11 கட்டமைப்புகளில், கண்ணாடி வலைப்பின்னல்: %UserProfile%\.wslconfig இன் [wsl2] பிரிவில் networkingMode=mirrored வைக்கவும், wsl --shutdown இயக்கவும், விநியோகம் தனிப்பட்ட NAT துணை வலைப்பின்னலுக்குப் பதிலாக ஹோஸ்ட்டின் இடைமுகங்களைப் பங்கிடும். கண்ணாடி பயன்முறை localhost மற்றும் உள்வரும் துறைகளின் நடத்தையையும் மாற்றுகிறது, எனவே அதை நிலைமாற்றி அல்ல, இடமாற்றமாகக் கருதுங்கள்.
NAT, பாலம் மற்றும் ஹோஸ்ட் என்ன பார்க்க முடியும்
NAT இன் கீழ் விருந்தினரின் சுரங்கப்பாதை பொதிகள் VPN சேவையகத்தின் பொது முகவரிக்கு அனுப்பப்பட்டு மறைக்கப்பட்ட UDP அல்லது TCP ஆக ஹோஸ்ட் அடாப்டர் வழியாக வெளியேறுகின்றன. ஹோஸ்ட் ஒரு ஓட்டத்தையும் அதன் பைட் எண்ணிக்கையையும் பார்க்கிறது, உள்ளே உள்ள இலக்குகளைப் பற்றி எதுவும் இல்லை. பாலம் அடாப்டரின் கீழ் விருந்தினருக்கு இயற்பியல் LAN இல் தன் சொந்த 2-ஆம் அடுக்கு அடையாளம் உள்ளது, தன் சொந்த DHCP குத்தகையை எடுக்கிறது, MAC அடிப்படையிலான எந்தக் கொள்கைக்கும் இரண்டாவது சாதனமாகத் தெரிகிறது. எந்தப் பயன்முறையும் ஹோஸ்ட்டை சுரங்கப்பாதையின் சுமையைப் படிக்க விடவில்லை; பாலம் இடப்பட்ட விருந்தினர் சுற்றியுள்ள வலைப்பின்னலுக்கு மிகவும் தெரியும்.
தனிமைப்படுத்தலுக்கும் ஒரு கீழ் எல்லை உண்டு. விருந்தினர் தன் நினைவகத்தை உடைய இயந்திரத்திலிருந்து மறைந்து கொள்ள முடியாது, ஹோஸ்ட்டைக் கட்டுப்படுத்துபவர் விருந்தினரின் RAM இலிருந்து விசைகளைப் படிக்கலாம். விருந்தினருக்குள் சுரங்கப்பாதை தருவது வழிமாற்று எல்லையும் தீம்பொருள் எல்லையும், மடிக்கணினியைப் பிடித்திருக்கும் நபரிடமிருந்து பாதுகாப்பு அல்ல. ஆவணப்படுத்தப்பட்ட அடாப்டர் பயன்முறைகள் தேர்ந்தெடுக்கும்போது திறந்து வைக்கத் தகுந்தவை, ஏனெனில் பயன்முறை ஹோஸ்ட் பார்ப்பதையும் LAN பார்ப்பதையும் மாற்றுகிறது.
வழிகாட்டி: வைக்கவும், அமைக்கவும், நிரூபிக்கவும்
இந்த நான்கு சோதனைகளை புதிய விருந்தினர் ஷெல்லில் வரிசையாக இயக்கி, நீங்கள் எழுதிய உரிமையாளருடன் பொருந்தாத முதல் சோதனையில் நிறுத்துங்கள்.
ip route get 1.1.1.1tun0அல்லதுwg0திருப்பித் தந்தால் விருந்தினர்-உரிமை, தனிப்பட்ட அடுத்த தாவலுடன்eth0தந்தால் ஹோஸ்ட்-உரிமை.resolvectl query example.com, அல்லது விருந்தினர் தீர்வி சேவையை இயக்காத இடத்தில்/etc/resolv.confபடியுங்கள். போக்குவரத்தைச் சுமக்கும் ஆனால் DNS அல்லாத சுரங்கப்பாதை மிகவும் பொதுவான பாதி-அமைக்கப்பட்ட நிலை.- வெளியேற்றங்களை ஒப்பிடுங்கள்: விருந்தினரில்
curl -4 -s https://ifconfig.me, ஹோஸ்ட்டில்curl.exe -4 -s https://ifconfig.me. வெவ்வேறு முகவரிகள் என்றால் விருந்தினர் சுரங்கப்பாதையின் உரிமையாளர், VPN இல் உள்ள ஹோஸ்டுடன் வீட்டு ISP காட்டும் விருந்தினர் என்பது எதுவும் வழிவந்து கிடைக்காத நிலை. - இரண்டையும்
-6உடன் மீண்டும் செய்யுங்கள். v4 மட்டும் சுரங்கப்பாதை v6 கசிகிறது, கிளையண்ட் அதைத் தடுக்காவிட்டால் அல்லது வழிமாற்றாவிட்டால், பல கிளையண்டுகள் இயல்பாக v6 ஐ இயற்பியல் இடைமுகத்தில் விட்டுவிடுகின்றன.
பல விருந்தினர்கள் ஒரு சுரங்கப்பாதையைப் பங்கிடும் ஹோஸ்ட்-நுழைவாயில் வடிவமைப்பில், ஹோஸ்ட் அனுப்பி மொழிபெயர்க்க வேண்டும். Linux ஹோஸ்ட்டில் அவை மூன்று துண்டுகள், அவற்றில் ஒன்று இல்லாவிட்டால் விருந்தினர் அமைதியாக தன் சாதாரண பாதைக்குத் திரும்புகிறது:
sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o wg0 -j MASQUERADE
iptables -A FORWARD -i virbr0 -o wg0 -j ACCEPT
iptables -A FORWARD -i wg0 -o virbr0 -m state --state RELATED,ESTABLISHED -j ACCEPTWireGuard பக்கத்தில் ஹோஸ்ட் இணையின் AllowedIPs விருந்தினர்களின் துணை வலைப்பின்னலை உள்ளடக்க வேண்டும், எடுத்துக்காட்டாக 192.168.122.0/24, இல்லாவிட்டால் திரும்பும் பொதிகள் ஒருபோதும் வந்து சேராது, அமைப்பு தீச்சுவர் சிக்கலாகத் தெரியும். Windows ஹோஸ்ட் இணைய இணைப்புப் பகிர்வு அல்லது Hyper-V சுவிட்சில் NAT விதி மூலம் அதே முடிவை அடைகிறது, அதற்கும் அதே திரும்பும்-பாதை சோதனை தேவை.
வடிவமைப்பு இன்னும் திறந்திருக்கும்போது, இந்த அட்டவணை மிகவும் பொதுவான ஏற்பாடுகளை உள்ளடக்குகிறது:
| Situation | Owner | Check first |
|---|---|---|
| One VM, host also on a corporate VPN | Guest | Does the host client block local networks? |
| Six lab VMs, one exit address | Host plus forwarding | ip_forward, NAT rule, server AllowedIPs |
| Malware or research VM | Guest, NAT | Snapshot age and resolver state |
| Bridged VM on an office LAN | Guest | DHCP lease and port security |
இரண்டு சுரங்கப்பாதைகள், இரண்டு விருந்தினர்கள், அவர்களுக்கிடையேயான முரண்பாடுகள்
ஒரே நேரத்தில் இரண்டு வெளியேற்றங்கள் தேவைப்படும்போது நிலைத்திருக்கும் முறை விருந்தினருக்கு ஒரு சுரங்கப்பாதை. ஒவ்வொரு VM உம் தன் இயல்புநிலை பாதையையும் தீர்வியையும் வைத்திருக்கிறது, ஹோஸ்ட் சாதாரண வலைப்பின்னலில் இருக்கிறது, இரண்டு சுரங்கப்பாதைகளும் ஒரே வழிமாற்று அட்டவணைக்காக ஒருபோதும் சண்டையிடுவதில்லை. இரண்டு விருந்தினர்களைப் பாலத்தால் இணைப்பது அவர்களின் பாதைகளைச் சேர்க்காது: மெய்நிகர் வலைப்பின்னல் ஒரு பாதையைத் தருகிறது, இந்த உள்ளூர் போக்குவரத்து சுரங்கப்பாதையைத் தவிர்க்கலாம் என்று ஒவ்வொரு கிளையண்டுக்கும் இன்னும் சொல்ல வேண்டும்.
ஹோஸ்ட் சுரங்கப்பாதையையும் விருந்தினர் சுரங்கப்பாதையையும் ஒன்றாக இயக்குவது நியாயமானது, வேண்டுமென்றே கூடு கட்டுவது சில நேரங்களில் நீங்கள் விரும்புவதே—விருந்தினர் தன் சொந்த சுரங்கப்பாதை வழியாக வெளியேறி, அந்தச் சுரங்கப்பாதை ஹோஸ்ட்டின் சுரங்கப்பாதை வழியாக வெளியேறுகிறது. இதை இடையூறாக மாற்றுவது எந்த முனை எந்த அடுக்கு வழியாக அடைய வேண்டும் என்று யாரும் எழுதி வைக்காததுதான். இலக்கு மற்றும் உரிமையாளரின் இரு நிரல் பட்டியலை வைத்திருங்கள், பாதை முரண்பாடு ஒரு பிற்பகல் தேடலுக்குப் பதிலாக ஒரு தேடலாக மாறும்.
சரிபார்க்கவும், பின்னர் மீட்பை உரிமையாளரிடமே விடுங்கள்
விருந்தினரின் உள்ளிருந்து சோதியுங்கள் புதிய பயன்பாட்டு செயல்முறையுடன்: போக்குவரத்து, பெயர் தீர்வு, இரண்டு முகவரி குடும்பங்கள், சுரங்கப்பாதை விழும்போது என்ன நடக்கிறது. ஹோஸ்ட்டின் VPN சின்னம் விருந்தினரின் பரப்பைப் பற்றி எதுவும் சொல்லவில்லை, இந்த முழுத் துறையிலும் அதுவே மிகவும் பொதுவான பொய்யான உறுதிப்படுத்தல்.
மீட்பும் உரிமையாளருக்கே. விருந்தினர்-உரிமைச் சுரங்கப்பாதை விருந்தினரின் சொந்த கிளையண்டாலும் அவர் எழுதிய பாதைகளாலும் மீட்டெடுக்கப்படுகிறது. ஹோஸ்ட்-உரிமை வடிவமைப்பு ஹோஸ்ட்டின் துவக்க வரிசையால் மீட்டெடுக்கப்படுகிறது, அனுப்புதல் விதிகள் unit அல்லது துவக்கப் பணி மீண்டும் பயன்படுத்தாவிட்டால் மறுதொடக்கத்தில் தாக்குப்பிடிக்காது. மீட்டெடுக்கப்பட்ட ஸ்னாப்ஷாட் ஒரு நிறுவல், ரத்து அல்ல, ஏனெனில் அது வட்டுடன் பழைய சான்றுகளையும் பழைய பாதைகளையும் திருப்பிக் கொண்டு வருகிறது. வேலை முடிந்தது என்று சொல்வதற்கு முன், உரிமையாளர் இன்னும் நீங்கள் எழுதிய வரியுடன் பொருந்துகிறாரா, DNS மற்றும் இரண்டு முகவரி குடும்பங்களும் விருந்தினருக்குள் தீர்கின்றனவா, இறந்த சுரங்கப்பாதை கருந்துளைக்குப் பதிலாக பயன்படுத்தக்கூடிய வலைப்பின்னலை விடுகிறதா, மறுதொடக்கம் அல்லது ஸ்னாப்ஷாட் மீட்பு அதே நிலையை மீண்டும் உருவாக்குகிறதா என்பதை உறுதிப்படுத்துங்கள்.