ভার্চুয়ালবক্স ভিএম থেকে কেবল কোনও ভিপিএন দিয়ে কীভাবে ট্র্যাফিকের পথ চলতে হবে?

Question

আমি একটি ভার্চুয়ালবক্স ভিএম পেয়েছি (হোস্ট এবং অতিথি উবুন্টু মাভারিক উভয়)। আমার ভিপিএন সরবরাহকারী টিউএন সেটআপ করতে ওপেনভিপিএন ব্যবহার করে। আমি জিনিসগুলি সেট আপ করতে চাই যাতে ভিএম থেকে ট্র্যাফিক কেবল ভিপিএন এর উপরে চলে যায় এবং ভিপিএন নীচে নেমে গেলে কেবল তা ফেলে দেওয়া হয় (এটি ঘটেছে)। পরামর্শ? আমার iptables-fu কিছুটা দুর্বল

আমি যা চেষ্টা করেছি: ভার্চুয়ালবক্সের "হোস্ট-কেবল নেটওয়ার্কিং" ব্যবহার করে যা আপনাকে হোস্টের জন্য অতিথির কাছে একটি vboxnet0 লুপব্যাক ইন্টারফেস দেয়, তবে iptables / রুটগুলি সঠিকভাবে পেতে পারে না। আমি ভিএম-এ NAT এড়াতে চাই, যেহেতু আমি ইতিমধ্যে ডাবল NAT'd (আইএসপি এবং হোম রাউটার) এবং আরও একটি স্তর আমার মাথাটি পপ করে দেবে।

অন্যান্য সম্ভাবনা: ট্যাপে (কীভাবে?) স্যুইচ করা এবং ভিএম-তে ব্রিজ করা। ভিএম এর ভিতরে ভিপিএন তৈরি করা এবং ভিপিএন ব্যতীত সমস্ত ইথ 0 ট্র্যাফিক ফিল্টার করে iptables এর সাথে সংযোগ স্থাপন করুন (তবে নীচে দেখুন)

বোনাস পয়েন্ট: আপনি যদি আমাকে বলতে পারেন যে হোস্টের ভিপিএন এর মাধ্যমে অতিথির থেকে ডাবল-টানেল ট্র্যাফিক না করে হোস্ট এবং অতিথির উপর কীভাবে বিভিন্ন ভিপিএন প্রস্থান পয়েন্টগুলি ব্যবহার করবেন।

Answer 1

অন্যান্য সমাধানও হবে, তবে আমি এটিই ভাবছি:

1. ব্রিজ মোডে ভিএম সেটআপ করুন। এটি আপনার হোস্ট হিসাবে একই নেটওয়ার্কে আপনার ভার্চুয়াল মেশিনকে একটি আইপি ঠিকানা দেবে।
2. হোস্টটিতে ভিপিএন সেটআপ করুন, আসুন এটি টিউন 0 বলুন।
3. হোস্টে রাউটিং সক্ষম করুন echo 1 > /proc/sys/net/ipv4/ip_forward
4. হোস্ট আইপি অ্যাড্রেসটি ডিফল্ট gw হিসাবে সেট করুন।

এই মুহুর্তে, হোস্টটির ভিপিএন সংযোগ রয়েছে, এবং ভিএম সমস্ত ট্র্যাফিক হোস্টের দিকে যাত্রা করবে। যা করা বাকি রয়েছে তা হোস্টকে সীমাবদ্ধ করা যাতে এটি অতিথিকে এমন কোনও ট্র্যাফিক রুট করতে দেয় না যে টিউন ডিভাইসটি দিয়ে যেতে না পারে। আপনি iptables এর একটি সেট দিয়ে এমন কিছু নিয়ম করতে পারেন:

iptables -P FORWARD DROP
iptables -A FORWARD -o tun0 -j ACCEPT
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

এটা কাজ করা উচিত । প্রথম নিয়ম ফরওয়ার্ড চেইনে DROP প্যাকেটে ডিফল্ট নীতি সেট করে। এটি কেবলমাত্র সেই প্যাকেটগুলিকেই প্রভাবিত করে যা আপনার হোস্টটি রুট করবে, হোস্টের জন্য প্যাকেট নয় (INPUT) বা হোস্ট (OUTPUT) থেকে। দ্বিতীয় নিয়মটি যে কোনও ট্র্যাফিককে যে টিউন আউট করতে পারে তা অনুমতি দেয় - আপনি চাইলে আপনি এটি একটি - উত্স দিয়ে শক্ত করতে পারেন। এবং শেষ নিয়মে উত্তরগুলি টিউন থেকে ফিরে ভিএম-তে ফিরে যেতে দেওয়া উচিত।

আপনার ভিপিএন কি একা আইপি থেকে টিউন ইন্টারফেসের সমস্ত প্যাকেট আসবে বলে আশা করছে? যদি তা হয় তবে আপনিও একটি NAT নিয়ম যুক্ত করতে চাইবেন। সম্ভবত এর মতো কিছু:

iptables -t nat -A POSTROUTING -o tun0 -j SNAT --to-source {your host tun0 ip}