คอมพิวเตอร์ 1 เครื่อง, 2 NICs, 2 ที่อยู่ IP สาธารณะคงที่

คอมพิวเตอร์เดสก์ท็อปที่บ้านของฉันมี NIC สองตัว ฉันใช้อินเทอร์เน็ตสำหรับความต้องการอินเทอร์เน็ตส่วนตัวของฉันและวางแผนที่จะใช้อินเทอร์เน็ตอื่นที่ค่อนข้างไม่ได้ตั้งใจ ฉันจะสร้างเซิร์ฟเวอร์ SOCKS / VPN บนเครื่องเสมือนใช้มันเฉพาะกับเครือข่ายสำรอง NIC และให้ที่อยู่ IP สาธารณะแบบคงที่ของตัวเอง ฉันมีเกตเวย์ "เราเตอร์" หนึ่งตัวและโมเด็มหนึ่งตัวเป็นองค์ประกอบแยก

แผนการนี้มีสองด้านที่ยังคงเป็นปริศนาสำหรับฉัน

1. ฉันสามารถแยกทราฟฟิกของ VM เป็นหนึ่งใน NIC ได้ แต่ฉันจะแยกทราฟฟิกของเครื่องโฮสต์ไปยังอีกอันได้อย่างไร

2. วิธีที่ปลอดภัยและถูกที่สุดในการตั้งค่าคืออะไร

ตามที่ฉันเข้าใจฉันสามารถรับเราเตอร์ที่สามารถใช้งานได้กับ dd-wrt หรือ OpenWrt ซึ่งจะอนุญาตให้ฉันใช้ NAT 1: 1 และแสดง IP ทั้งสองแบบสาธารณะ ฉันสามารถใส่เกตเวย์ที่มีอยู่ระหว่าง NIC ของเครื่องโฮสต์กับเราเตอร์เพื่อเพิ่มความปลอดภัยอีกชั้น เนื่องจาก VM มีการใช้งานอย่างจริงจังมากขึ้นจึงอาจต้องการเลเยอร์ความปลอดภัยของฮาร์ดแวร์ภายในเราเตอร์เช่นกัน

อีกวิธีหนึ่งฉันสามารถรับสวิตช์และเกตเวย์อื่น ฉันไม่ได้ซื้อสวิตช์มาก่อนและฉันไม่แน่ใจว่าจะมองหาอะไรในบริบทนี้

ฉันขาดความเป็นไปได้อื่น ๆ หรือไม่?

คุณสามารถแยก roothost ได้ง่ายๆโดยไม่เปิดใช้งาน / กำหนดค่า L3 บนอินเตอร์เฟส roothost สำหรับ NIC นั้น (สมมติว่าไฮเปอร์ไวเซอร์จัดหาเครือข่ายให้กับ VM ผ่านบริดจ์อินเตอร์เฟส L2) นี่จะเป็นการแยกการรับส่งข้อมูลและความปลอดภัยขั้นพื้นฐาน (เช่นไม่เปิดเผยให้กับ VM)

สำหรับความปลอดภัยที่เข้มงวดมากขึ้นความต้องการ / ความกังวลที่แท้จริงของคุณอยู่ที่นี่?

จากห้องพักไปจนถึง VM สิ่งนี้จะเป็นภาพร่างเสมอ

ระหว่าง VM และเครือข่ายคุณไม่จำเป็นต้องใช้ฮาร์ดแวร์มากขึ้น คุณสามารถปรับใช้ VM อีกด้วย OpenWrt หรือเราเตอร์ที่เปิดใช้งานการรักษาความปลอดภัยอื่น ๆ แล้วส่งทราฟฟิกผ่านมัน จากนั้นเชื่อมต่อภายนอกเชื่อมต่อ L2 กับเราเตอร์ VM และเชื่อมต่อเป้าหมาย VM กับเราเตอร์ VM ผ่านสวิตช์เสมือนแยก

แต่ทำไมถึงต้องพิจารณาไฟร์วอลล์ภายนอกเมื่อคุณสามารถใช้ไฟร์วอลล์ภายในที่ระบบปฏิบัติการใน VM เป้าหมายได้

ความปลอดภัย - ฉลาดฉันจะไม่ใช้ NAT 1: 1 จริงๆ แต่จะเปิดเผย / ส่งต่อพอร์ตที่ต้องการเท่านั้น ช่วยให้คุณควบคุมได้มากขึ้นและมอบการรักษาความปลอดภัย / ความซับซ้อนต่อผู้โจมตี

หาก ISP กำหนดค่าที่อยู่ 2 ให้เป็น 'ส่ง' ไปยังที่อยู่ IP หลักของคุณ (หรือหากอินเทอร์เน็ตอัปลิงค์ของคุณจากเราเตอร์เป็นเทคโนโลยีแบบจุดต่อจุดเช่น PPPoE):

• คุณสามารถกำหนดที่อยู่ IP ให้กับเราเตอร์และดำเนินการ DNAT กับที่อยู่ภายในของเซิร์ฟเวอร์

• หากเราเตอร์รองรับเส้นทางสแตติกแบบกำหนดเอง 1: 1 NAT ไม่มีประโยชน์คุณสามารถเพิ่มเส้นทางแบบคงที่สำหรับที่อยู่ IP ที่ 2 ไม่ว่าจะเป็นที่อยู่ LAN ของเซิร์ฟเวอร์หรือไปยังอินเตอร์เฟส LAN ของตัวเองจากนั้นกำหนดที่อยู่นั้น (เป็น / 32) เซิร์ฟเวอร์โดยตรง

ถ้าอินเทอร์เน็ตอัปลิงค์ของคุณจากเราเตอร์เป็นอีเธอร์เน็ตมาตรฐาน (ไม่ใช่ PPPoE) และ หาก ISP กำหนดค่าที่อยู่ที่สองเป็น 'on-link':

• คุณสามารถวางสวิตช์ทั่วไปไว้ด้านหน้าพอร์ต WAN ของเราเตอร์และเชื่อมต่อเซิร์ฟเวอร์กับมัน สวิตช์ที่ไม่มีการจัดการจะทำ ในกรณีนี้คุณจะต้องใช้ไฟร์วอลล์ของเซิร์ฟเวอร์เอง มาก ระมัดระวังเกี่ยวกับการไม่เปิดเผยโดยไม่ได้ตั้งใจเช่น iLO / iDRAC กับอินเทอร์เน็ต

• คุณสามารถกำหนดที่อยู่ IP ให้กับเราเตอร์และดำเนินการ DNAT กับที่อยู่ภายในของเซิร์ฟเวอร์ได้เช่นเดียวกับด้านบน

• คุณสามารถกำหนดที่อยู่ IP ให้กับเซิร์ฟเวอร์โดยตรงจากนั้นเปิดใช้งาน proxy-ARP และเพิ่มเส้นทางสแตติกสำหรับที่อยู่นั้นบนเราเตอร์ (เหมือนข้างบนยกเว้นสำหรับ proxy-ARP)

ในกรณีใด ๆ รายการที่อนุญาตพิเศษพอร์ตสามารถทำได้ผ่านไฟร์วอลล์ทั้งบนเราเตอร์หรือบนเซิร์ฟเวอร์โดยไม่ขึ้นกับโหมด NAT หรือเส้นทาง