Jakiego typu sieci należy używać dla swojej maszyny wirtualnej?

Tworząc maszynę wirtualną (VM), masz wiele opcji dotyczących sieci. Możesz skonfigurować maszynę wirtualną tak, aby działała jak inny komputer w sieci, zabezpieczyć ją za wewnętrznym routerem i zaporą ogniową, a nawet symulować w pełni dostosowaną sieć rzeczywistą.

W tym przewodniku zostaną szczegółowo omówione opcje sieciowe VirtualBox, ale te same koncepcje będą dotyczyć również innych programów do wirtualizacji.

Translacja adresów sieciowych (NAT)

Ten typ sieci jest domyślny dla nowych instancji VirtualBox i jest dość łatwy do zrozumienia. Po prostu pozwala systemowi operacyjnemu gościa na dostęp do Internetu, w taki sam sposób, w jaki komputer uzyskuje do niego dostęp zza domowego routera.

Na przykład Twój komputer może mieć adres IP 192.168.1.5 w sieci domowej. Twój router będzie miał adres IP przypisany przez dostawcę usług internetowych, na przykład 73.45.123.123. Kiedy łączysz się z usługą zewnętrzną, router tłumaczy Twój wewnętrzny adres IP na publiczny zewnętrzny adres IP, z którym się komunikujesz. (Technicznie używa rozszerzenia NAT, zwanego translacją adresu portu, ale koncepcja jest taka sama.)

W pewnym sensie to tak, jakby umieścić swoje maszyny wirtualne za dodatkowym routerem. Pakiety wysyłane z maszyn wirtualnych przejdą dwie translacje: najpierw przetłumaczą prywatny adres IP maszyny wirtualnej na prywatny adres IP hosta, a następnie przetłumaczą prywatny adres hosta na adres publiczny. . Ostatecznie umożliwia to łączność z Internetem dla maszyny wirtualnej. Według wiedzy maszyny wirtualnej jest dokładnie jak urządzenie w sieci domowej.

Tryb NAT nie daje hostowi (ani żadnej innej maszynie lokalnej) dostępu do usług działających na maszynie wirtualnej w taki sam sposób, w jaki usługa działająca w sieci lokalnej nie jest publicznie dostępna z otwartego Internetu. Jeśli chcesz, aby aplikacja była dostępna, musisz przekierować porty, na których działa, i powiązać je z portami lokalnymi hosta. To zarówno dobra, jak i zła rzecz. Z jednej strony jest to o wiele bezpieczniejsze, ponieważ nawet urządzenia lokalne nie mogą uzyskać dostępu do usług maszyny wirtualnej, ale ręczne otwieranie portów może nie być tym, czego chcesz. Jeśli wydaje się to problemem, tryb Bridged jest potencjalnym rozwiązaniem. Możesz również udostępnić usługi gościa otwartemu Internetowi, przekazując port na routerze, aby przekierować port do komputera hosta, który przekaże połączenie do gościa.

Podczas gdy wszystkie inne kierunki komunikacji są możliwe, tryb NAT nie zapewnia dostępu gości do hosta.

Powinieneś wybrać NAT, jeśli potrzebujesz podstawowego dostępu do Internetu, ale nadal chcesz oddzielić maszynę wirtualną od innych maszyn w sieci.

Sieć NAT

W trybie NAT router wewnętrzny jest konfigurowany dla każdej maszyny wirtualnej. Maszyna wirtualna nie może uzyskać dostępu do usług uruchomionych na innej maszynie wirtualnej. W rzeczywistości każda maszyna może mieć dokładnie ten sam prywatny adres IP, ponieważ wszystko jest tłumaczone na końcu.

Tryb sieci NAT działa zgodnie z tą samą zasadą co NAT, ale zamiast logicznie oddzielać każdą maszynę wirtualną do własnej sieci, sieć NAT używa jednej sieci dla wszystkich maszyn wirtualnych skonfigurowanych w tej samej sieci NAT (chociaż nic nie stoi na przeszkodzie, aby mieć kilka oddzielnych sieci).

Pozwala to na dostęp typu gość do gościa za pośrednictwem przełącznika wirtualnego, podobnie jak komputer podłączony do pierwszego gniazda Ethernet routera może uzyskać dostęp do komputera podłączonego do drugiego gniazdka. W przeciwnym razie ten tryb działa dokładnie tak samo jak NAT; Dostęp z hosta do gościa można uzyskać tylko poprzez przekierowanie portów (jednak tym razem musisz wybrać maszynę wirtualną do przekazania).

Jedyną istotną różnicą jest to, że ponieważ w tej samej sieci jest wiele maszyn wirtualnych, każda maszyna wirtualna musi mieć inny adres. Wymaga to, aby host miał uruchomiony serwer DHCP (znowu, tak jak w routerze domowym), który dynamicznie przypisuje wewnętrzne adresy IP do każdej maszyny wirtualnej w sieci. W razie potrzeby można to wyłączyć i skonfigurować ręcznie.

Powinieneś wybrać NAT zamiast Basic NAT, jeśli potrzebujesz dostępu typu gość-gość.

Zmostkowany

Tryb mostkowy jest wyjątkowy wśród trybów sieciowych, ponieważ jest to jedyny tryb, który w jakiś sposób nie izoluje maszyn wirtualnych. W trybie mostkowym maszyna wirtualna komunikuje się bezpośrednio z usługami zewnętrznymi przy użyciu interfejsu sieciowego hosta.

Oznacza to, że maszyny wirtualne pojawią się na routerze jako całkowicie osobny adres IP, chociaż są kierowane do tej samej maszyny. Pozwala to na hostowanie usług na maszynach wirtualnych i dostęp do nich w sieci lokalnej za pomocą adresu et numer portu, co sprawia, że ​​sieć mostkowa jest bardzo elastyczna.

Ten tryb sieci jest używany przez wielu dostawców VPS, takich jak AWS, ponieważ pozwala im podzielić duży, wydajny serwer na kilka mniejszych serwerów, które można sprzedać klientom. Każda maszyna będzie miała swój własny, unikalny adres IP w sieci. Jednak w przypadku usług takich jak AWS istnieje wiele dodatkowych zabezpieczeń i systemów, które uniemożliwiają dostęp do maszyn wirtualnych innych klientów, a ich rzędy wielkości są bardziej skomplikowane.

Chociaż host jest używany do kierowania pakietów do serwera, w żaden sposób nie ingeruje w nie, dzięki czemu system operacyjny gościa wygląda jak komputer w sieci. Ponieważ jednak nic nie izoluje maszyny wirtualnej od sieci zewnętrznej, nie ma wbudowanej zapory lub ochrony innej niż zapora bramy ani żadna ręcznie skonfigurowana zapora w systemie operacyjnym gościa.

Większość serwerów będzie wyposażona w wiele portów Ethernet i kilka fizycznych interfejsów. Ponieważ tryb mostkowy po prostu łączy jeden z tych fizycznych interfejsów, można go używać do uruchamiania maszyn wirtualnych w całkowicie oddzielnych sieciach, w zależności od rzeczywistego okablowania.

Jeśli chcesz mieć pełny i nieograniczony dostęp, powinieneś wybrać sieć pomostową. Przydatne również, jeśli chcesz po prostu uruchomić wiele „wirtualnych” serwerów przy użyciu tego samego sprzętu, tak jak zrobiłby to dostawca VPS.

Tylko adapter hosta

W trybie Host-Only maszyny wirtualne nie mają dostępu do Internetu. Jednak komunikacja host-gość i gość-gospodarz jest nadal możliwa i jest głównym powodem korzystania z tego trybu.

W tym trybie serwer DHCP jest zwykle uruchamiany, aby przydzielać adresy IP gościom, a komunikacja między gośćmi jest również łatwa przy użyciu sieci internetowej.

Powinieneś wybrać tryb Host-Only, jeśli potrzebujesz dużo dwukierunkowej komunikacji między hostem a gościem, ale nie chcesz mieć dostępu do Internetu na hoście. Jeśli potrzebujesz komunikacji dwukierunkowej, ale potrzebujesz dostępu z zewnątrz, możesz osiągnąć ten sam efekt w trybie mostkowym, który umożliwia pełny dostęp.

Sieć wewnętrzna (symulowana)

Sieć wewnętrzna służy do modelowania rzeczywistych sieci. Po wyjęciu z pudełka jest całkowicie oddzielony od świata zewnętrznego; wielu gości wdrożonych w tej samej sieci może uzyskiwać dostęp do siebie nawzajem, ale nie do hosta lub Internetu lub odwrotnie. Jest to przydatne samo w sobie, ponieważ jest w stanie symulować sieci, które są całkowicie odłączone od świata, ale sieć wewnętrzną można skonfigurować tak, aby zapewniała dostęp do Internetu prywatnym maszynom.

Tworząc nową maszynę wirtualną i konfigurując ją jako router (jak w przypadku iptables), możesz powiedzieć wszystkim innym maszynom w sieci wirtualnej, aby używały nowej maszyny wirtualnej routera jako bramy domyślnej. Aby faktycznie uzyskać dostęp do sieci zewnętrznych, musisz utworzyć oddzielny interfejs sieciowy w trybie połączenia z Internetem (NAT, Bridged itp.) i podłączyć go do routera. Technicznie rzecz biorąc, sama sieć wewnętrzna nie zapewnia dostępu do Internetu, ale VM1 i VM2 w tym przykładzie nie będą miały żadnego interfejsu sieciowego umożliwiającego bezpośredni dostęp do Internetu.

W pewnym sensie ta konfiguracja nie różni się zbytnio od trybu sieciowego NAT, ale wszystko jest obsługiwane ręcznie.

Wybierz Sieć wewnętrzną, jeśli chcesz symulować lub modelować sieć wirtualną lub jeśli potrzebujesz elastyczności, aby skonfigurować wszystko samodzielnie. Sieć wewnętrzna jest bardzo przydatna do celów szkoleniowych, ponieważ umożliwia każdemu skonfigurowanie własnej sieci bez konieczności chodzenia do Radioshack w celu zakupu potrzebnego sprzętu.