Při virtualizaci není výběr mezi sítí NAT nebo Bridged libovolný: definuje, jak váš virtuální počítač v síti „existuje“ , jeho soukromí a služby, které může nabízet. Tato příručka vám pomůže jednoduše pochopit, co každý režim dělá a kdy je vhodné jej použít v hypervizorech, jako je VirtualBox nebo VMware.
Existuje více možností než jen NAT a přemostění, ale tyto dvě hrají v každodenním používání klíčovou roli. V přemostěném režimu je virtuální počítač jen dalším zařízením ve vaší lokální síti LAN; v režimu NAT se nachází za virtuálním routerem . Odtud se mění přidělování IP adres, viditelnost, zabezpečení a externí přístup. Podívejme se na to klidně a jednoduše.
Základní rozdíl mezi NAT a Bridged sítěmi v hypervizorech
Základní myšlenka je jednoduchá: Bridged (přemostění) připojuje virtuální počítač přímo k vaší fyzické síti , zatímco NAT jej umisťuje za překladač síťových adres spravovaný hypervizorem. V Bridged váš router (nebo firemní DHCP server) přiřadí virtuálnímu počítači IP adresu, jako by se jednalo o jiný počítač. V NATu virtuální počítač obdrží privátní IP adresu z malého virtuálního routeru a přistupuje k internetu „přes“ hostitele.
Díky přemostění může být virtuální počítač umístěn ve vaší lokální síti, nabízet služby a dokonce přijímat připojení z internetu, pokud to váš fyzický router umožňuje. S NAT virtuální počítač bez problémů prochází internet, ale není přístupný zvenčí bez přesměrování portů . To je nejbezprostřednější praktický rozdíl.
Jaké jsou bezpečnostní důsledky? V prostředích, která nekontrolujete (veřejné Wi-Fi, striktní firemní sítě, kampusy atd.), poskytuje NAT vrstvu izolace a snižuje plochu pro útok . V laboratorních sítích nebo serverech, které musí být viditelné, je Bridged přímočarý a pohodlný.
Jak každý virtuální počítač získá IP adresu a jak komunikuje?
V typické lokální síti router přiřazuje IP adresy přes DHCP, obvykle v rozsahu 192.168.1.x až 192.168.0.x. V režimu Bridged si virtuální počítač vyžádá IP adresu ze stejného DHCP serveru a chová se jako jakékoli jiné fyzické zařízení: v případě potřeby mu můžete přiřadit statickou IP adresu ze stejného rozsahu.
V NATu hypervizor nastaví interní router a DHCP server. Například VirtualBox přiřadí hostovi ve výchozím nastavení IP adresu 10.0.2.15 s bránou 10.0.2.2 a maskou podsítě 255.255.255.0. Veškerý provoz je pak směrován přes hostitele, stejně jako domácí router provádí NAT pro zařízení ve vašem počítači.
Pokud ve VirtualBoxu nakonfigurujete více virtuálních počítačů s „klasickým“ NATem, každý z nich se nachází ve svém vlastním privátním mini-NATu, a proto se v tomto režimu navzájem nevidí . Abyste umožnili komunikaci mezi virtuálními počítači pomocí NATu, potřebujete síť NAT, což je sdílená a směrovaná virtuální síť.
Běžné síťové režimy v hypervizorech
Kromě NAT a Bridged nabízejí hypervizory profily, které řeší specifické potřeby. Jejich pochopení předchází frustraci a hodinám testování.
Přemostěný adaptér . Virtuální počítač používá fyzický adaptér hostitele, jako by byl kabelem připojen ke skutečné síti. K virtuálnímu počítači máte přístup z hostitele, virtuální počítač komunikuje s internetem a ostatní zařízení v místní síti jej vidí jako další uzel . Ideální pro servery nebo testování, které vyžaduje plný přehled. Poznámka: Tím se virtuální počítač zpřístupní skutečné síti.
NAT . Virtuální počítač má přístup k internetu a lokální síti, ale nikdo k němu nemůže přistupovat zvenčí, pokud nenamapujete porty . Ve výchozím nastavení neexistuje žádná konektivita VM↔Host, ani konektivita VM↔VM neexistuje, pokud všechny virtuální počítače používají klasický NAT ve VirtualBoxu. Toto je výchozí režim, protože „funguje“ pouze pro prohlížení a stahování bez jakýchkoli úprav.
Síť NAT (NatNetwork) . Podobná jako NAT, ale na sdílené virtuální síti. Virtuální počítače mohou mezi sebou komunikovat a přistupovat k internetu. Pro přijímání externích připojení stále potřebujete přesměrování portů . Velmi užitečné pro laboratoře a samostatné clustery.
Režim pouze pro hostitele . Vytvoří privátní síť mezi hostitelem a virtuálními počítači. Mohou komunikovat mezi sebou navzájem i s hostitelem, ale nemají přístup k internetu (pokud nenastavíte další router). Ideální pro zcela izolovaná testovací prostředí.
Interní síť . Je to ještě omezující: pouze VM↔VM v rámci dané virtuální sítě . Hostitel virtuální počítače nevidí a není k dispozici přístup k internetu. Je to ideální pro simulaci topologií reálného světa bez rizika.
Nepřipojeno (Není připojeno) . Adaptér je přítomen, ale je to, jako by „kabel“ byl odpojený . Užitečné pro testování odolnosti nebo pro dočasné „odpojení“ sítě.
Generický řadič . Umožňuje tunely UDP nebo sítě VDE. Pro pokročilé případy použití , jako je propojení virtuálních počítačů na různých hostitelích přes existující síť.
Možnosti připojení: kdo s kým mluví
Pokud si nejste jisti všemi režimy, zamyslete se nad těmito čtyřmi otázkami: Může virtuální počítač komunikovat s hostitelem? Mohou dva virtuální počítače komunikovat mezi sebou? Může virtuální počítač přistupovat k internetu? A může internet přistupovat k virtuálnímu počítači? U přemostění je odpověď na všechny tyto otázky ano . S NAT je možná odchozí komunikace; příchozí komunikace vyžaduje pouze přesměrování portů; komunikace VM↔Host a VM↔VM závisí na režimu (klasický NAT: ne; síťový NAT: ano mezi virtuálními počítači). Pouze hostitel umožňuje komunikaci VM↔Host a VM↔VM, ale ne přístup k internetu . Pouze interní umožňuje komunikaci VM↔VM.
VirtualBox to shrnuje ve svém oficiálním průvodci v tabulkové podobě. Praktický klíč : pokud potřebujete plný přehled, použijte Bridged; pokud hledáte izolaci a výstupní data, použijte NAT nebo Network NAT; a pokud chcete uzavřené laboratorní prostředí, použijte Host-only nebo Internal.
Výchozí adresy a rozsahy ve VirtualBoxu
VirtualBox má předdefinované rozsahy, které stojí za to si zapamatovat. V klasickém NATu : host 10.0.2.15, brána 10.0.2.2, maska podsítě 255.255.255.0. Toto nelze konfigurovat z grafického rozhraní. Je to zkratka pro přístup k internetu bez problémů se sítí.
V režimu NAT je výchozí síť 10.0.2.0/24. Brána bude vždy .1 dané sítě (například 192.168.22.1, pokud zvolíte 192.168.22.0/24) a server DHCP bude mít .3 . DHCP a IPv6 můžete povolit nebo zakázat v nabídce Předvolby > Síť.
V režimu pouze hostitele VirtualBox obvykle vytvoří adresu 192.168.56.0/24 s hostitelem na adrese 192.168.56.1 a DHCP konfigurovatelným (rozsah, maska atd.) ze Správce sítě hostitele.
Přesměrování portů: otevření „dveří“ k vašemu virtuálnímu počítači v NATu
Protože NAT ve výchozím nastavení nepřijímá příchozí připojení, je nutné přesměrovat porty z hostitele na virtuální počítač . To je přesně totéž, co děláte na domácím routeru, abyste zpřístupnili interní službu internetu.
Typický příklad: SSH přístup k virtuálnímu počítači Ubuntu přes NAT. Virtuální počítač je na portu 10.0.2.15 a služba naslouchá na portu 22. Vytvoříte pravidlo, aby hostitel naslouchal na portu 8022 a přesměrovával provoz na port 10.0.2.15:22 . Ve VirtualBoxu na virtuálním počítači: Nastavení > Síť > Upřesnit > Přesměrování portů, přidáte pravidlo TCP s IP adresou hostitele 127.0.0.1, portem hostitele 8022, IP adresou hosta 10.0.2.15, portem hosta 22 a připojíte se z hostitele k portu 127.0.0.1:8022.
Pokud chcete, aby k němu měly přístup i ostatní počítače v místní síti LAN, použijte jako „IP adresu hostitele“ fyzickou IP adresu hostitele (například 10.10.10.72) a připojte se k adrese 10.10.10.72:8022. Princip je stejný pro HTTP: 8080→80 k virtuálnímu počítači. Tímto způsobem prohlížeč na jiném počítači odkazuje na http://HOST_IP:8080 a dostane se k serveru Apache virtuálního počítače.
V síťovém NATu jsou pravidla globální pro síť a konfigurují se v Nastavení > Síť > vaše síť NAT. V klasickém NATu jsou pravidla pro každý virtuální počítač a konfigurují se v nastavení daného počítače.
Ejemplos de reglas (conceptuales):
Host TCP 8022 -> 10.0.2.15:22 (SSH)
Host TCP 8080 -> 10.0.2.15:80 (HTTP)
Nezapomeňte, že pokud je na hostiteli nebo hostovi firewall, budete muset tyto porty povolit . V Ubuntu s UFW otevřete porty 22/80 podle potřeby.
Užitečné příkazy VBoxManage
Rozhraní příkazového řádku VirtualBoxu umožňuje automatizovat vše. Chcete-li změnit režim první síťové karty na NAT, použijte příkaz modifyvm s volbou –nic1 :
VBoxManage modifyvm NOMBRE_VM --nic1 nat
VBoxManage modifyvm NOMBRE_VM --nic1 natnetwork
VBoxManage modifyvm NOMBRE_VM --nic1 bridged
VBoxManage natnetwork add --netname natnet1 --network "192.168.22.0/24" --enable
Tyto příkazy vám ušetří kliknutí při správě více virtuálních počítačů a sítí . Nejlepší je aplikovat změny v síti, když je virtuální počítač vypnutý.
Typy virtuálních adaptérů a jumbo rámců
VirtualBox emuluje různé síťové karty: AMD PCnet (Am79C970A a Am79C973), Intel PRO/1000 v několika verzích (82540EM, 82543GC, 82545EM) a paravirtualizovaný adaptér virtio-net. Síťové karty Intel obecně dobře fungují s moderními systémy Windows a téměř všemi distribucemi Linuxu; virtio-net nabízí lepší výkon, pokud má hostující operační systém správné ovladače.
Pozor na jumbo rámce: VirtualBox podporuje pouze adaptéry Intel v režimu bridge , a i tehdy jen omezeně. Adaptéry založené na AMD tiše zahazují jumbo vstupní a výstupní rámce, takže pokud povolíte velké MTU a nefunguje to, teď už víte proč.
Promiskuitní režim a přemostění přes Wi-Fi
Promiskuitní režim umožňuje síťové kartě přijímat provoz, který není určen pro její MAC adresu . Ve VirtualBoxu můžete v konfiguracích sítě Bridged, NAT, Internal a Host-only zvolit možnost Deny (výchozí), Allow VMs (Povolit virtuální počítače) nebo Allow All (Povolit vše). To je užitečné pro audit a řízené sniffing.
U Wi-Fi mnoho čipů nepodporuje nízkoúrovňové funkce. Přemostění bezdrátových adaptérů je efektivní jen částečně : VirtualBox přepisuje MAC adresy do rámců, aby umožnil komunikaci, ale nelze vybírat sítě z virtuálního počítače ani používat režim monitorování. Pro skutečný bezdrátový výkon je ideálním řešením USB adaptér a USB průchod k hostovi.
Praktické scénáře: podnikání, domácnost a kybernetická bezpečnost
Nastavení domácí laboratoře. Pokud nechcete nic zveřejnit, propojte virtuální počítače přes NAT, aby se mohly navzájem vidět a mít přístup k internetu, a otevřete na hostiteli specifické porty pro občasné testování. Pohodlné a docela bezpečné.
Server přístupný ze sítě. Pokud potřebujete, aby další počítače v síti LAN (nebo mimo ni) měly přístup ke službě bez nutnosti zabývat se pravidly NAT hostitele, použijte přemostění a přiřaďte statické IP adresy z vašeho DHCP serveru nebo virtuálního počítače. Je to nejtransparentnější přístup.
Firemní síť ovládaná třetí stranou. V místní síti LAN, kterou nespravujete, je nejlepší povolit NAT, aby se snížila expozice a zabránilo se konfliktům IP adres. Pokud síťový tým uplatňuje agresivní zásady, NAT vás ušetří více než jednoho bloku.
Penetrační testování a analýza malwaru. Pro shromažďování informací nebo simulaci skutečného provozu je často výchozím bodem NAT: poskytuje přístup k internetu bez odhalení virtuálního počítače . Pro nastavení složitých scénářů zkombinujte konfiguraci interní sítě/pouze hostitele s virtuálním počítačem typu „router“ (dalším v režimu NAT nebo přemostění) a vytvořte izolované segmenty pro testování.
Výuka a demonstrace. Pokud spolu potřebuje komunikovat více virtuálních počítačů, NAT to značně zjednodušuje . Pokud každý student potřebuje pouze přístup k internetu, samotný NAT zlepšuje stabilitu a zabraňuje kolizím v místní síti učebny.
Stručné rozdíly: Přemostění, pouze hostitelské připojení a NAT
Přemostěný: Virtuální počítač se chová jako jakýkoli jiný počítač v síti . Používá skutečný DHCP, může mít statickou IP adresu z LAN poolu a je plně přístupný (příchozí i odchozí).
Pouze hostitel: Virtuální počítač komunikuje pouze s hostitelem a dalšími virtuálními počítači v dané síti . Ve výchozím nastavení není k dispozici přístup k internetu. Ideální pro izolaci postupů nebo zpřístupnění služeb pouze hostiteli.
NAT: Virtuální počítač přistupuje k internetu „z IP adresy hostitele“ a příchozí provoz vyžaduje přesměrování portů . Ve VirtualBoxu klasický NAT neumožňuje komunikaci mezi virtuálními počítači; síťový NAT ano.
Interní síť s virtuálním routerem: malý příklad
Představte si tři virtuální počítače (VM1, VM2, VM3) v interní síti 192.168.23.0/24. K VM1 přidáte druhou síťovou kartu v režimu NAT a nakonfigurujete ji jako router (pomocí iptables nebo libovolného firewallu s NAT). VM2 a VM3 používají jako bránu 192.168.23.1 (IP adresa VM1 v interní síti) a nyní mají přístup k internetu, aniž by musely odhalovat segment Lab.
Příklad parametrů: VM1 internal 192.168.23.1 + NAT 10.0.2.15/gate 10.0.2.2, VM2 192.168.23.2 gw 192.168.23.1, VM3 192.168.23.3 gw 192.168.23.1. Toto je klasický vzor pro testování pravidel firewallu před jejich nasazením do produkčního prostředí.
Jak to ovlivňuje služby a porty
V přemostěném režimu je služba běžící na virtuálním počítači (HTTP, SSH, RDP atd.) přímo přístupná prostřednictvím své IP adresy do místní sítě (LAN) (a do internetu, pokud ji otevřete na fyzickém routeru). Jde o plug and play pro zpřístupnění služeb.
V NAT/Network NAT zpřístupňujete služby pomocí pravidel pro přesměrování na hostiteli nebo v síti NAT. To přidává přesnou kontrolu : vybíráte porty, IP adresy hostitelů a dokonce můžete omezit přístup na 127.0.0.1 pro exkluzivní lokální přístup.
VirtualBox: detaily, na které se nesmí zapomenout
Klasický režim NAT ve VirtualBoxu používá vestavěný engine NAT a DHCP. Rozsah 10.0.2.0/24 nelze změnit z grafického rozhraní . Pro laboratoře, kde je potřeba komunikovat více virtuálních počítačů, použijte síťový NAT a definujte si vlastní podsíť v Nastavení > Síť.
Pokud má váš hostitel více fyzických adaptérů (Ethernet a Wi-Fi), v přemostěném režimu si vyberete, ke kterému se chcete připojit . Tím se zabrání problémům, když přepnete sítě a váš virtuální počítač přestane reagovat, protože je připojen k nesprávnému adaptéru.
VMware a režim „Vlastní“
Ve VMware najdete kromě sítí Bridged, NAT a Host-only také sítě „VMnet“. VMnet1 je obvykle Host-only a VMnet8 je NAT . Zbývající sítě VMnets jsou zdarma a můžete si v nich navrhovat vlastní topologie a připojovat virtuální počítače k různým sítím VMnets, jako by se jednalo o samostatné virtuální přepínače.
Tento „vlastní“ přístup je pro kybernetickou bezpečnost mimořádně výhodný: simulujete složitá prostředí s izolovanými segmenty, virtuálními routery a pivotními body, aniž byste se museli dotýkat skutečné lokální sítě LAN.
Momentky a sociální média: nerozlučná dvojice
Snímky zmrazují stav virtuálního počítače, abyste se k němu mohli kdykoli vrátit. Před instalací softwaru nebo provedením jakýchkoli změn v síti vytvořte snímek; pokud se něco pokazí, můžete se během několika sekund vrátit do původního stavu. To je obzvláště užitečné při testování konfigurací firewallu, pravidel NAT nebo změn síťové karty.
Typický pracovní postup: snapshot, instalace, konfigurace, testování; pokud to nefunguje, obnovení . Pokud to funguje dobře, pořízení dalšího snapshotu jako „stabilní stav“. Šetří čas a zabraňuje nepříjemným překvapením.
Sdílené složky: hostitel, host a síť
Ve Windows umožňuje sdílení složek v síti ostatním počítačům přístup k aplikacím a datům z centrálního serveru, což zjednodušuje správu . Ve virtuálních prostředích hypervizory také nabízejí vlastní sdílené složky pro přesun souborů mezi hostitelskými a hostovanými počítači, aniž by byly vystaveny lokální síti.
Ve VMware/VirtualBoxu můžete povolit složku na hostiteli, kterou virtuální počítač uvidí jako lokální zdroj. To se liší od zdroje SMB ve Windows : je to přímočařejší, nevyžaduje, aby byl virtuální počítač v přemostěném režimu, a nevyžaduje publikování čehokoli v síti. Je to užitečné pro přenos instalačních programů, protokolů a záloh mezi hostitelem a izolovaným virtuálním počítačem.
Rychlé osvědčené postupy
Pokud síť neovládáte, upřednostněte NAT nebo síťový NAT. Tím zabráníte konfliktům IP adres a zbytečnému vystavení . Pro služby přístupné z místní sítě LAN použijte přemostění se statickou IP adresou (nebo rezervaci DHCP).
Pro laboratoře: kombinujte interní/pouze hostitelské prostředí s routerem virtuálního počítače v NAT nebo Bridged. Tím se oddělí „nezabezpečená“ prostředí od ostatních a zároveň se v případě potřeby zajistí přístup k internetu.
Pro sniffing nebo audit: povolte promiskuitní režim a použijte vhodné adaptéry. Pro Wi-Fi je vhodnější použít vyhrazený USB kabel připojený k virtuálnímu počítači, pokud potřebujete režim monitorování.
Ať už použijete jakoukoli metodu: rozsahy dokumentů, brány, pravidla portů a snímky, vaše budoucí já vám poděkuje, až se k projektu vrátíte o několik týdnů později.
Výběr mezi NAT a Bridged a pochopení ostatních režimů vám umožní navrhovat bezpečná prostředí, přístupné služby a realistické topologie bez problémů. S NAT získáte izolaci a kontrolu přístupu dat; s Bridged získáte plný přehled . Režimy Host-only a Internal doplňují obraz uzavřených scénářů a síťový NAT poskytuje perfektní kompromis, když více virtuálních počítačů potřebuje vzájemně komunikovat a kontrolovaně přistupovat k internetu. V případě potřeby přidejte přesměrování portů, pořizujte snímky před kritickými změnami a pokud používáte VirtualBox, mějte na paměti jeho výchozí rozsahy a možnosti VBoxManage pro automatizaci vašich každodenních úkolů.