Mój domowy komputer stacjonarny ma dwie karty sieciowe. Używam jednego do moich osobistych potrzeb internetowych i planuję używać drugiego nieco niekonwencjonalnie. Zamierzam utworzyć serwer SOCKS / VPN na maszynie wirtualnej, używać go wyłącznie z zapasową kartą sieciową i nadać mu własny publiczny statyczny adres IP. Obecnie mam jeden „router” bramy i jeden modem jako dyskretne elementy.
Istnieją dwa obszary tego planu, które wciąż są dla mnie tajemnicą.
Mogę izolować ruch maszyny wirtualnej do jednej z kart sieciowych, ale jak izolować ruch maszyny hosta do drugiej?
Jaki jest najbezpieczniejszy i najtańszy sposób na skonfigurowanie tego?
Jak rozumiem, mógłbym otrzymać router, który można flashować z dd-wrt lub OpenWrt, co pozwoliłoby mi na użycie NAT 1: 1 i ujawnienie obu adresów IP publicznie. Mógłbym wtedy umieścić moją istniejącą bramę między kartą sieciową hosta a routerem, aby uzyskać dodatkową warstwę bezpieczeństwa. Ponieważ maszyna wirtualna jest używana poważniej, prawdopodobnie będzie również wymagać sprzętowej warstwy zabezpieczeń wewnątrz routera.
Alternatywnie mogłem dostać przełącznik i inną bramę. Nie kupiłem wcześniej przełącznika i nie jestem pewien, czego szukać w tym kontekście.
Czy brakuje mi innych możliwości?
źródło
Odpowiedzi:
Możesz izolować najdalszy punkt po prostu nie włączając / konfigurując L3 na interfejsie najszerszym dla tej karty sieciowej (zakładając, że hiperwizor dostarcza sieć do VM za pośrednictwem zmostkowanego interfejsu L2). Zapewni to separację ruchu i podstawowe bezpieczeństwo (tj. Nie narażanie najdalej położonej maszyny wirtualnej).
Jeśli chodzi o większe bezpieczeństwo, jakie są twoje prawdziwe wymagania / obawy?
Od najniższego poziomu do VM - zawsze będzie to coś szkicowego.
Pomiędzy maszyną wirtualną a siecią naprawdę nie potrzebujesz więcej sprzętu. Możesz wdrożyć inną maszynę wirtualną za pomocą OpenWrt lub, cóż, dowolnego innego routera z zabezpieczeniami, a następnie przepuścić przez nią ruch. Następnie podłącz zewnętrzną, zmostkowaną L2 do routera VM i podłącz docelową VM do routera VM za pomocą oddzielnego przełącznika wirtualnego.
Ale po co nawet brać pod uwagę zaporę zewnętrzną, skoro możesz użyć wewnętrznej, w systemie operacyjnym na docelowej maszynie wirtualnej?
Ze względów bezpieczeństwa tak naprawdę nie używałbym NAT 1: 1, a jedynie ujawniał / przekazywał wymagane porty. Daje ci większą kontrolę i zapewnia dodatkową warstwę bezpieczeństwa / komplikacji przeciwko napastnikowi.
źródło
nat match dest ip public1 port 80,443 target ip roothostoraznat match dest ip public2 port 80,443,1194 target ip vmJeśli dostawca usług internetowych skonfiguruje drugi adres do „przekierowania” na główny adres IP (lub jeśli łącze internetowe z routera jest oparte na technologii punkt-punkt, takiej jak PPPoE):
Możesz przypisać adres IP routerowi i wykonać DNAT na wewnętrzny adres serwera.
Jeśli router obsługuje niestandardowe trasy statyczne, NAT 1: 1 jest bezużyteczny - można dodać trasę statyczną dla drugiego adresu IP albo do adresu LAN serwera, albo do samego interfejsu LAN, a następnie przypisać ten adres (jako / 32) do serwer bezpośrednio.
Jeśli twoje łącze internetowe z routera jest standardowym Ethernetem (a nie PPPoE) i jeśli ISP skonfiguruje drugi adres jako „on-link”:
Możesz umieścić ogólny przełącznik przed portem WAN routera i podłączyć do niego serwer. Zrobi to niezarządzany przełącznik. W tym przypadku trzeba by użyć własnego firewall serwera, będąc bardzo ostrożnym, nie przypadkowo wystawiając np iLO / IDRAC do Internetu.
Możesz przypisać adres IP routerowi i wykonać DNAT na wewnętrzny adres serwera, tak jak powyżej.
Możesz przypisać adres IP bezpośrednio do serwera, a następnie włączyć proxy-ARP i dodać trasę statyczną dla tego adresu w routerze (tak samo jak powyżej, z wyjątkiem proxy-ARP).
W każdym razie białej listy portów można dokonać za pośrednictwem zapory ogniowej na routerze lub na serwerze, niezależnie od NAT lub trybów routingu.
źródło