將虛擬機器的IP段與主機分開

Question

我最近開始學習進攻安全課程。在他們的連結指南頁面，他們警告連接到他們的實驗室的危險：

您將向與您一起學習課程的其他學生公開您電腦的 VPN IP。由於課程的性質（及其參與者！），您的電腦可能會受到來自 VPN 網路的攻擊。即使您位於 NAT 裝置後面也是如此。

我已聯繫他們的支援人員，以了解有關這些危險的更多資訊以及如何保護我的電腦。他們建議我可以「將虛擬機器的IP段與主機分開」。

VM 是帶有 Kali Linux 的 VMWare 虛擬機器。主機是Windows 10 PC。

我怎樣才能實現他們的建議，以及“將虛擬機器的IP段與主機分開”？

Answer 1

我最初寫這篇文章時考慮的是一個單獨的 VMware/ESXi 主機。如果您必須使用工作 Windows 10 電腦（具有 VMware Workstation），則需要建立/使用未橋接主機傳出介面的隔離虛擬網路。 VMware Workstation 一開始應該已經為您建立了一個。然而，您的主機仍然暴露在該網路中，這使您的工作電腦面臨風險。

我建議使用單獨的 ESXi 主機，該主機帶有單獨的虛擬交換機，且未連接任何實體適配器。在此（隔離的）虛擬交換器上建立連接埠群組。 Kali Linux VM 應僅附加此連接埠群組。您可以透過 ESXi 管理遠端查看虛擬機，該虛擬機應該位於其自己的網段或與內部網路不同的 VLAN 上。然後您將無法透過 ssh 存取 Kali VM。虛擬機器只能存取 ESXi 內部網路。

該虛擬機器無法存取 Internet。為了提供 Internet 存取（這可能是不可取的），您可以安裝防火牆 VM（例如 OPNsense 或 pfSense）。要將此防火牆用於您自己的內部網路和 Kali VM，請將您的 ISP 路由器置於橋接模式，將其內部網路連接埠放置在即時 Internet 上，而不是 NAT 上（以避免混淆雙重 NAT）。使用專用的 WAN 實體乙太網路適配器（除了用於 LAN 和管理的適配器之外，必要時可以只是一個單獨適配器上的 VLAN）。該主機的 WAN 介面必須不暴露於您的內部網絡，或者如果必須暴露，則必須建立非常仔細的規則以強制所有 Kali VM 流量流向互聯網。防火牆虛擬機器需要一個連接 Kali Linux 連接埠群組的介面。請務必在所有防火牆介面上建立規則以限制對 Kali 網路的存取。