Proxmox இல் LXC அல்லது VM இல் WireGuard: அது எங்கே இயங்க வேண்டும்?
WireGuard Proxmox தொகுப்பாளரில், ஒரு கொள்கலனில் அல்லது VM இல் இயங்க முடியும். தீர்மானிக்கும் காரணிகள் கர்னல் உரிமை, இடைமுகக் கட்டுப்பாடு மற்றும் மீட்பு.
WireGuard தனது இடைமுகத்தை உரிமையாகக் கொண்ட சரியாக ஒரு கர்னலைத் தேவைப்படுகிறது, மேலும் இந்த உண்மை செயல்திறன் உரையாடலுக்குள் வருவதற்கு முன்பே Proxmox இடத்தேர்வு விவாதத்தின் பெரும்பகுதியைத் தீர்க்கிறது. LXC கொள்கலன் என்பது தொகுப்பாளர் கர்னலின் பெயர்வெளிப் பார்வை, ஆனால் VM தனது சொந்த கர்னலைத் தொடங்குகிறது. எனவே பயனுள்ள கேள்வி எந்த விருப்பம் இலகுவானது என்பதல்ல, மாறாக நீங்கள் எந்த கர்னலை மாற்றத் தயாராக உள்ளீர்கள், எந்த மீட்புப் பாதையுடன் வாழ முடியும் என்பதே. அதற்குப் பதில் சொல்லுங்கள், தொகுப்பாளர், கொள்கலன் அல்லது VM என்ற தேர்வு பொதுவாக தானாகவே நடக்கும்.
LXC விருந்தினர் தொகுப்பாளர் கர்னலுக்குள் வேலை செய்கிறது
கொள்கலனுக்குள் wireguard-tools நிறுவினால் கட்டுப்பாட்டு நிரல் கிடைக்கும், தனிப்பட்ட கர்னல் அல்ல. நீங்கள் உருவாக்கும் wg0 இடைமுகம் தொகுப்பாளரின் வலையமைப்பு அடுக்கில் பதிவாகி, தொகுப்பாளரின் தொகுதிப் பட்டியலில் தோன்றும். அதனால்தான் கொள்கலன் அனைத்து தொகுப்புச் சோதனைகளையும் தாண்டி, தொகுப்பாளர் கர்னலில் தொகுதி இல்லாதபோது முதல் wg கட்டளையில் தோல்வியடையலாம். மேலும் Proxmox கொள்கலன் குறிப்பு அந்தப் பங்கிடப்பட்ட கர்னல் மாதிரியையும், நீங்கள் வேலை செய்யும் பெயர்வெளி மற்றும் சிறப்புரிமை எல்லைகளையும் ஆவணப்படுத்துகிறது.
அதிகாரம் இரண்டாவது கட்டுப்பாடு. ஒரு இடைமுகத்தை மேலேற்றி அதற்கு முகவரிகளை இணைக்க அதை உரிமையாகக் கொண்ட பெயர்வெளிக்குள் உள்ள வலையமைப்பு நிர்வாக உரிமைகள் தேவை, மேலும் சிறப்புரிமை இல்லாத கொள்கலன் அந்த உரிமைகளை நேரடியாக வைத்திருக்காமல் தனது பயனர் பெயர்வெளி வழியாக வரைபடமாக்குகிறது. முதல் பதிலாக ஒருபோதும் முழு சிறப்புரிமையை நோக்கிப் போகாதீர்கள்; கொள்கலனிடம் உண்மையில் என்ன கேட்கப்படுகிறது என்பதைப் பார்த்து, பின்னர் அதைக் கொடுங்கள்.
தொகுப்பாளர் கர்னலும் ஒரு பங்கிடப்பட்ட சார்பு. Proxmox கர்னல் புதுப்பிப்பு ஒவ்வொரு கொள்கலனின் கீழும் WireGuard செயலாக்கத்தை ஒரே நேரத்தில் மாற்றுகிறது, இது ஒரு புதுப்பிப்பும் ஒரு கொள்கலனின் எதிர்பார்ப்புகளும் ஒத்துப்போகாத வரை வசதியானது.
தொகுப்பாளர், கொள்கலன், VM: ஒவ்வொரு இடத்தேர்வும் உண்மையில் எதை உரிமையாகக் கொண்டுள்ளது
தொகுப்பாளரில் இடத்தேர்வு VPN ஐ ஹைப்பர்வைசரின் சொந்த வலையமைப்பில் வைக்கிறது. வழிகள், ஃபயர்வால் விதிகள் மற்றும் சுரங்கப்பாதை தொகுப்பாளர் மீட்பின் ஒரு பகுதியாகின்றன, அங்குள்ள ஒரு தவறு நிர்வாக இடைமுகத்தையும் எடுத்துச் செல்லலாம். கன்சோல் வழியாக அடையக்கூடிய தொகுப்பாளரில் உள்கட்டமைப்பு வழிமாற்றத்திற்கு இது ஏற்கத்தக்கது, பட்டைக்கு வெளியே அணுகல் இல்லாத தொலை இயந்திரத்தில் வேதனையானது.
கொள்கலன் சேவையைத் தொகுத்து மறுதொடக்கம் செய்யக்கூடியதாக வைத்துக்கொண்டே தொகுப்பாளர் கர்னலைக் கடனாகப் பெறுகிறது. வேண்டுமென்றே பங்கிடப்பட்ட கர்னல் சேவைக்கு இது பொருந்தும், மீள்கட்டமைப்பிற்கு ஒரு சிறிய அலகைத் தருகிறது. இது சுயாதீன கர்னலைத் தருவதில்லை, எனவே குறிப்பிட்ட தொகுதிக் கட்டுமானம் தேவைப்படும் எதுவும் இந்த விருப்பத்திலிருந்து விலகிச் செல்கிறது.
| Placement | Kernel owner | Typical failure mode |
|---|---|---|
| Proxmox host | Hypervisor | A routing change breaks host management access |
| LXC container | Host kernel, container namespace | Missing capability or missing module at wg0 creation |
| Virtual machine | Guest kernel | Extra maintenance and a second patch cycle |
VM கூடுதல் நினைவகத்தையும் இன்னொரு இணைப்புப் பராமரிப்பு அமைப்பையும் செலவாக்குகிறது, அதற்குப் பதிலாக சுரங்கப்பாதை தனது சொந்த கர்னல், தனது சொந்த வழிமாற்று அட்டவணை மற்றும் ஒரு நிழற்பட எல்லையைப் பெறுகிறது. மோசமான மாற்றத்திற்குப் பிறகு VPN தான் நீங்கள் பின்னோக்கி மீட்பது என்றால், அந்த நிழற்படம் கூடுதல் சுமைக்கு மதிப்புள்ளது.
உங்களுக்காகத் தேர்ந்தெடுக்கும் மூன்று நிபந்தனைகள்
சுரங்கப்பாதைக்கு Proxmox தொகுப்பாளர் வழங்காத கர்னல் பதிப்பு அல்லது WireGuard அம்சம் தேவைப்பட்டால், இங்கே நிறுத்தி VM ஐப் பயன்படுத்துங்கள். கொள்கலனுக்குள் புதிய கர்னலை நிறுவ முடியாது, ஒரு விருந்தினரைத் திருப்திப்படுத்த ஹைப்பர்வைசர் கர்னலை மாற்றக்கூடாது.
சுரங்கப்பாதை உண்மையான LAN முன்னொட்டுகளுக்கான தளத்தின் நுழைவாயிலாக இருந்தால், திரும்பும் வழி ஏற்கனவே யாருக்குச் சொந்தம் என்று கேளுங்கள். கொள்கலன் போக்குவரத்தை வழிமாற்ற முடியும், ஆனால் அதன் இடைமுகங்கள் தொகுப்பாளரின் அடுக்கில் அமர்ந்துள்ளன, எனவே தொகுப்பாளர் இறுதியில் உள்ளமைவின் ஒரு பகுதியைச் சுமக்கிறது, நீங்கள் திட்டமிட்டிருந்தாலும் இல்லாவிட்டாலும். தொகுப்பாளரில் இடத்தேர்வு இதில் நேர்மையானது; கொள்கலனில் இடத்தேர்வு பெரும்பாலும் அல்ல.
பின்னர் ஒரு தவறின் தாக்க ஆரத்தைத் தூக்கிப் பாருங்கள். கொள்கலனை மறுதொடக்கம் செய்வது மலிவானது, VM நிழற்படத்தை மீட்டெடுப்பது முன்னறிவிக்கக்கூடியது, தொகுப்பாளர் வலையமைப்பைச் சரிசெய்ய இயற்பியல் அல்லது கன்சோல் அணுகல் தேவைப்படலாம். சரியான தேர்வு என்பது அது நடைபெறும் அந்த மணி நேரத்தில் மோசமான நிலையிலிருந்து உண்மையில் மீட்கக்கூடியதே.
நான்காவது கேள்வி அரிதாகவே தீர்மானகரமானது, ஆனால் சொல்லத் தகுந்தது: தொகுப்பாளரில் வேறு ஏதாவது சுரங்கப்பாதை இடைமுகத்தைப் பார்க்க வேண்டுமா? ஆம் என்றால், தொகுப்பாளரில் அல்லது கொள்கலனில் இடத்தேர்வு அந்தத் தெரிவுநிலையை உள்ளூராக வைத்திருக்கும், ஆனால் VM விருந்தினருக்கும் தொகுப்பாளருக்கும் இடையே வழிமாற்றக் கட்டாயப்படுத்துகிறது.
போக்குவரத்தை அதன் வழியாக அனுப்பும் முன் இடத்தேர்வை நிரூபியுங்கள்
நிறுவிய பிறகு, உண்மையில் எந்த கர்னல் இடைமுகத்திற்குச் சேவை செய்கிறது, அதைத் தக்கவைக்க கொள்கலனுக்குப் போதுமான அதிகாரம் வழங்கப்பட்டதா என்பதை உறுதிப்படுத்துங்கள்:
$ pct config 101 | grep -E 'unprivileged|features'
unprivileged: 1
$ pct exec 101 -- wg show
interface: wg0
listening port: 51820
$ pct exec 101 -- ip -4 addr show wg0
inet 10.60.0.2/24 scope global wg0பின்னர் தொகுப்பாளரிலிருந்து அனுப்பும் பக்கத்தைச் சரிபார்க்கவும், ஏனெனில் கைக்குலுக்கல் மட்டும் சுரங்கப்பாதை மேலே உள்ளது என்பதை மட்டுமே நிரூபிக்கிறது. வாடிக்கையாளர் முகவரிக்கு ip route get பயன்படுத்தி, அடுத்த தாவல் மற்றும் இடைமுகம் வடிவமைப்புடன் பொருந்துவதையும், தொலைப் பக்கத்தில் திரும்பும் வழி இருப்பதையும் உறுதிப்படுத்துங்கள்.
வரிசைப்படுத்தலை எழுதப்பட்ட உரிமையாளருடன் விடுங்கள்: எந்தக் கர்னல் செயலாக்கத்தைச் சுமக்கிறது, எந்தப் பெயர்வெளி இடைமுகத்தை வைத்திருக்கிறது, நுழைவாயிலுக்கு எந்த முன்னொட்டுகளை அனுப்ப அனுமதி உண்டு. அந்த ஒரு வாக்கியம் மூன்று இடத்தேர்வுகளின் எந்த அளவுகோல் ஒப்பீட்டையும் விட அதிக சம்பவங்களைத் தடுக்கிறது.