Ma jiraan maqaallo badan oo ku saabsan Habré oo u go'ay nidaamka hawlgalka Qubes, kuwa aan arkayna kuma tilmaamayaan khibrad badan oo loo isticmaalo. Hoosta gooynta, waxaan rajeynayaa in aan saxo tan iyada oo la adeegsanayo tusaale ahaan isticmaalka Qubes sida habka ilaalinta (ka soo horjeeda) deegaanka Windows iyo, isla mar ahaantaana, qiyaasi tirada isticmaalayaasha ku hadla luqadda Ruushka ee nidaamka.
Waa maxay sababta Qubes?
Sheekada dhamaadka taageerada farsamada ee Windows 7 iyo walaaca sii kordhaya ee isticmaalayaasha ayaa horseeday baahida loo qabo in la abaabulo shaqada OS-kan, iyadoo la tixgelinayo shuruudaha soo socda:
- Hubi isticmaalka si buuxda u shaqeeya Windows 7 oo awood u leh isticmaaluhu inuu ku rakibo cusbooneysiinta iyo codsiyada kala duwan (oo ay ku jiraan internetka);
- hirgelin ka-reebis dhammaystiran ama xulashada is-dhexgalka shabakadda oo ku salaysan xaalado (hawlgal madaxbannaan iyo hababka shaandhaynta taraafikada);
- in la siiyo awoodda lagu xidhi karo si xushmad leh oo lagu xidho warbaahinta iyo qalabka.
Xaddidaaddan xaddidan waxay u maleyneysaa isticmaale si cad u diyaarsan, maadaama maamul madaxbannaan la oggol yahay, xannibaadahana kuma xirna xannibaadda ficilladiisa suurtagalka ah, laakiin ka-saarista khaladaadka suurtagalka ah ama saamaynta software-ka burburiya. Kuwaas. Ma jiro dembiilaha gudaha ee qaabka.
Raadintayada xalka, waxaan si dhakhso ah uga tagnay fikradda fulinta xayiraadaha iyadoo la adeegsanayo qalabyada Windows-ka lagu dhisay ama dheeraadka ah, maadaama ay aad u adag tahay in si wax ku ool ah loo xaddido isticmaalaha xuquuqda maamulka, isaga oo ka tagaya awoodda uu ku rakibo codsiyada.
Xalka xigay wuxuu ahaa go'doomin iyadoo la adeegsanayo hab-dhaqanka. Aaladaha caanka ah ee loo yaqaan 'virtualization desktop' (tusaale ahaan, sida sanduuqa 'virtualbox') ayaa si liidata ugu habboon xallinta dhibaatooyinka amniga iyo xaddidaadaha liistada ah waa in uu sameeyo adeegsaduhu isagoo si joogto ah u beddelaya ama hagaajinaya sifooyinka mashiinka farsamada ee martida (ka dib loo tixraaco). sida VM), taas oo kordhisa khatarta khaladaadka.
Isla mar ahaantaana, waxaan khibrad u lahayn isticmaalka Qubes sida nidaamka desktop-ka isticmaalaha, laakiin waxaan shaki ka qabnay xasilloonida la shaqeynta Windows martida. Waxaa la go'aamiyay in la hubiyo nooca hadda ee Qubes, maadaama xaddidaadaha la sheegay ay si fiican ugu habboon yihiin jaantuska nidaamkan, gaar ahaan hirgelinta qaababka mashiinka farsamada iyo isdhexgalka muuqaalka. Marka xigta, waxaan isku dayi doonaa inaan si kooban uga hadlo fikradaha iyo aaladaha Qubes, anigoo tusaale u ah xallinta dhibaatada.
Noocyada Xen Virtualization
Qubes wuxuu ku salaysan yahay Xen hypervisor, kaas oo yareynaya hawlaha maaraynta ilaha processor-ka, xusuusta iyo mashiinnada farsamada. Dhammaan shaqada kale ee aaladaha waxay ku urursan yihiin dom0 oo ku salaysan kernel Linux (Qubes for dom0 waxay isticmaashaa qaybinta Fedora).
Xen waxa ay taageertaa dhawr nooc oo ka mid ah hab-dhaqanka (waxaan ku siin doonaa tusaaleyaal naqshadaynta Intel, in kasta oo Xen ay taageerto kuwa kale):
- paravirtualization (PV) - hab wax ku ool ah iyada oo aan la isticmaalin taageerada qalabka, xusuusta weelka, waxaa loo isticmaali karaa nidaamyada leh kernel la habeeyey (dom0 ayaa ku shaqeeya habkan);
- Farsamaynta buuxda (HVM) - qaabkan, taageerada hardware waxaa loo isticmaalaa ilaha processor-ka, iyo dhammaan qalabka kale waxaa lagu daydaa iyadoo la isticmaalayo QEMU. Tani waa habka ugu caalami ah ee lagu socodsiiyo nidaamyada hawlgalka ee kala duwan;
- paravirtualization of hardware (PVH - ParaVirtualized Hardware) - qaab muuqaal ah oo la isticmaalayo taageero hardware marka, si ay ula shaqeeyaan hardware, kernel nidaamka martida isticmaalaa darawalada la qabsaday awoodaha hypervisor ah (tusaale ahaan, xusuusta la wadaago), baabi'inta baahida QEMU ku dayashada. iyo kordhinta waxqabadka I/O Kernel-ka Linux oo ka bilaabmaya 4.11 wuxuu ku shaqayn karaa qaabkan.
Laga bilaabo Qubes 4.0, sababo ammaan dartood, adeegsiga habka paravirtualization waa laga tagay (ay ku jiraan dayacanka la yaqaan ee qaab dhismeedka Intel, kuwaas oo qayb ahaan la dhimay adeegsiga farsamada casriga ah); Habka PVH si caadi ah ayaa loo isticmaalaa.
Marka la isticmaalayo ku dayasho (qaabka HVM), QEMU waxaa lagu bilaabay VM go'doonsan oo loo yaqaan stubdomain, si loo yareeyo khatarta ka faa'iidaysiga khaladaadka suurtagalka ah ee hirgelinta (mashruuca QEMU wuxuu ka kooban yahay kood badan, oo ay ku jiraan waafaqsanaanta).
Xaaladeena, qaabkan waa in loo isticmaalo Windows.
Adeegga mashiinnada farsamada
Qaab dhismeedka amniga Qubes, mid ka mid ah awoodaha muhiimka ah ee hypervisor waa wareejinta aaladaha PCI ee deegaanka martida. Ka saarida qalabka waxay kuu ogolaaneysaa inaad ka soocdo qaybta martida loo yahay ee nidaamka weerarrada dibadda. Xen waxay tan ku taageertaa hababka PV iyo HVM, kiiska labaad waxay u baahan tahay taageero IOMMU (Intel VT-d) - maaraynta xusuusta hardware ee aaladaha casriga ah.
Tani waxay abuurtaa dhowr mashiinada farsamada gacanta:
- sys-net, kaas oo aaladaha shabakada lagu wareejiyo oo loo isticmaalo buundada VM-yada kale, tusaale ahaan, kuwa fuliya hawlaha dab-damiska ama macmiilka VPN;
- sys-usb, kaas oo USB iyo qalabka kale ee kontaroolayaasha lagu wareejiyo;
- sys-firewall, kaas oo aan isticmaalin aaladaha, laakiin u shaqeeya sidii dab-damis loogu talagalay VM-yada ku xiran.
Si loogu shaqeeyo aaladaha USB, adeegyada wakiillada ayaa la isticmaalaa, kuwaas oo bixiya, waxyaabo kale:
- ee HID (qalabka isdhexgalka bini'aadmiga) fasalka qalabka, u diraya amarrada dom0;
- warbaahinta la saari karo, dib u habeynta mugga aaladda VM-yada kale (marka laga reebo dom0);
- Si toos ah ugu wareejinta aaladda USB (adoo isticmaalaya USBIP iyo aaladaha isku dhafka).
Qaabaynta noocan oo kale ah, weerar lagu guuleysto iyada oo loo marayo xirmooyinka shabakada ama aaladaha ku xiran waxay u horseedi kartaa tanaasulka kaliya ee adeegga VM ee socda, oo ma aha nidaamka oo dhan guud ahaan. Ka dib markii dib loo bilaabo adeegga VM, waxaa lagu shubi doonaa sidii ay ahayd.
Qalabka is dhexgalka VM
Waxaa jira dhowr siyaabood oo loola falgalo miiska mashiinka farsamada - ku rakibida codsiyada nidaamka martida ama ku dayashada fiidiyoowga iyadoo la adeegsanayo qalabka farsamada. Codsiyada martida waxay noqon karaan qalabyo kala duwan oo caalami ah (RDP, VNC, Spice, iwm.) Ikhtiyaar isku dhafan ayaa sidoo kale loo isticmaali karaa, marka hypervisor-ku uu ku dayo I / O nidaamka martida, iyo dibadda ayaa bixiya awoodda isticmaalka borotokoolka isku dara I / O, tusaale ahaan, sida Spice. Isla mar ahaantaana, qalabka fogaanta fogaanta ayaa badanaa hagaajiya sawirka, maadaama ay ku lug leeyihiin ka shaqeynta shabakad, taas oo aan saameyn togan ku yeelan tayada sawirka.
Qubes waxay siisaa qalabkeeda isdhexgalka VM. Marka hore, kani waa nidaam hoose oo garaafyo ah - daaqadaha VM-yada kala duwan ayaa lagu soo bandhigay hal desktop oo leh qaab midab u gaar ah. Guud ahaan, qalabyada isdhexgalka waxay ku saleysan yihiin awoodaha hypervisor - xusuusta la wadaago (Miiska deeqda Xen), qalabka ogeysiinta (Xen dhacdo channel), xenstore kaydinta la wadaago iyo borotokoolka isgaarsiinta vchan. Iyaga oo gacan ka helaya, qaybaha aasaasiga ah ee qrexec iyo qubes-rpc, iyo adeegyada dalabka ayaa la hirgeliyaa - dib u habeynta maqalka ama USB, wareejinta faylalka ama waxyaabaha ku jira sanduuqa, fulinta amarada iyo bilaabista codsiyada. Waa suurtogal in la dejiyo siyaasado kuu oggolaanaya inaad xaddiddo adeegyada laga heli karo VM. Jaantuska hoose waa tusaale habka loo bilaabayo isdhexgalka laba VM.
Sidaa darteed, shaqada VM-ka waxaa la fuliyaa iyada oo aan la isticmaalin shabakad, taas oo u oggolaanaysa isticmaalka buuxa ee VM-yada madaxbannaan si looga fogaado daadinta macluumaadka. Tusaale ahaan, sidan ayaa loo hirgeliyay kala-soocidda hawlaha cryptographic (PGP/SSH), marka furayaasha gaarka ah loo isticmaalo VM-yada go'doonsan oo aan iyaga dhaafin.
Qaababka, codsiga iyo VM-yada hal mar ah
Dhammaan shaqada isticmaale ee Qubes waxaa lagu sameeyaa mashiinnada farsamada. Habka ugu muhiimsan ee martida loo isticmaalo si loo xakameeyo oo loo arko iyaga. OS waxa lagu rakibay iyada oo ay la socoto qalab aasaasi ah oo mashiinada farsamada gacanta ku salaysan (TemplateVM). Nashqadani waa Linux VM oo ku salaysan qaybinta Fedora ama Debian, oo leh qalabka isdhexgalka ee lagu rakibay lana habeeyey, iyo nidaam gaar ah iyo qaybaha isticmaalaha. Rakibaadda iyo cusboonaysiinta software-ka waxa fuliya maareeyaha xirmada caadiga ah (dnf ama apt) oo laga keenay kayd la habeeyey oo leh xaqiijinta saxeexa dhijitaalka ah ee qasabka ah (GnuPG). Ujeedada VM-yada noocan oo kale ah waa in la hubiyo kalsoonida codsiga VM-yada la bilaabay iyaga oo ku saleysan.
Marka la bilaabayo, VM (AppVM) arji waxa ay isticmaashaa sawirka qaybta nidaamka ee jaantuska VM ee u dhigma, oo marka la dhammeeyo waxa uu tirtiraa sawirkan iyada oo aan la badbaadin isbeddellada. Xogta uu u baahan yahay isticmaaluhu waxa lagu kaydiyaa qayb isticmaale oo u gaar ah codsi kasta VM, kaas oo ku rakiban hagaha guriga.
Isticmaalka VM-yada la tuuri karo (VM-ka la tuuri karo) waxay faa'iido u yeelan kartaa dhinaca amniga. VM noocan oo kale ah waxaa loo abuuray iyadoo lagu saleynayo qaab-dhismeedka wakhtiga bilowga waxaana loo bilaabay hal ujeedo - si loo fuliyo hal codsi, dhamaystirka shaqada ka dib marka la xiro. VM-yada la tuuri karo waxaa loo isticmaali karaa in lagu furo faylal shaki leh oo waxa ku jira ay horseedi karaan ka faa'iidaysiga dayacanka codsiga gaarka ah. Awoodda lagu socodsiiyo VM hal mar ah ayaa lagu dhex daray maamulaha faylka (Nautilus) iyo macmiilka iimaylka (Thunderbird).
Windows VM waxa kale oo loo isticmaali karaa in lagu abuuro template iyo VM hal mar ah iyada oo loo raray astaanta isticmaale qayb gaar ah. Noocayada, qaab-dhismeedka noocan oo kale ah waxaa isticmaali doona isticmaaluhu hawlaha maamulka iyo rakibida codsiga. Iyada oo ku saleysan qaab-dhismeedka, dhowr codsi oo VM ah ayaa la abuuri doonaa - oo leh marin xaddidan oo shabakadda ah (awoodaha caadiga ah ee sys-firewall) iyo iyada oo aan la helin shabakadda gabi ahaanba (qalab shabakad muuqaal ah lama abuurin). Dhammaan isbeddelada iyo codsiyada lagu rakibay qaab-dhismeedka waxay diyaar u ahaan doonaan inay ka shaqeeyaan VM-yadan, iyo xitaa haddii barnaamijyada bookmark la soo bandhigo, ma yeelan doonaan shabakad isku xidhan oo tanaasul ah.
La dagaallama Daaqadaha
Tilmaamaha kor lagu sharaxay ayaa ah saldhigga Qubes waxayna u shaqeeyaan si adag; dhibaatooyinku waxay ka bilowdaan Windows. Si aad u dhexgaliso Windows, waa inaad isticmaashaa qalabyada martida ee Qubes Windows Tools (QWT), oo ay ku jiraan darawalada la shaqeeya Xen, darawal qvideo ah iyo qalabyo kala duwan oo loogu talagalay isdhaafsiga macluumaadka (wareejinta faylka, sabuuradda). Habka rakibaadda iyo qaabeynta ayaa si faahfaahsan loogu diiwaangeliyay shabakada mashruuca, markaa waxaanu wadaagi doonaa khibradeena codsi.
Dhibka ugu weyni waa taageero la'aanta qalabka la horumariyay. Horumarinta Furaha (QWT) waxay u muuqataa inaan la heli karin mashruuca isdhexgalka Windows-na wuxuu sugayaa horumariyaha hogaanka. Sidaa darteed, marka hore, waxay ahayd lagama maarmaan in la qiimeeyo waxqabadkeeda, lana sameeyo faham ku saabsan suurtogalnimada in si madax-bannaan loo taageero, haddii loo baahdo. Waxa ugu adag in la horumariyo oo la ciribtiro waa darawalka garaafyada, kaas oo ku dayanaya adabtarada fiidiyooga iyo soo bandhigida si uu u soo saaro sawir ku jira xusuusta la wadaago, taas oo kuu ogolaanaysa in aad si toos ah ugu soo bandhigto dhammaan desktop-ka ama daaqada dalabka ee daaqada nidaamka martida loo yahay. Intii lagu guda jiray falanqaynta hawlgalka darawalka, waxaanu hagaajinay koodka isu imaatinka deegaanka Linux waxaanan ka shaqaynay nidaam khalad ah oo u dhexeeya labada nidaam ee martida Windows. Marxaladda isgoysyada, waxaanu samaynay isbedelo dhowr ah oo noo fududeeyay waxyaabo noo fududeeyay, inta badan marka la eego rakibaadda "aamusnaanta" ee tamarta, sidoo kale waxaan meesha ka saarnay hoos u dhigista wax qabadka markaad ka shaqeyneyso VM muddo dheer. Waxaan soo bandhignay natiijada shaqada si gaar ah , sidaas darteed ma aha muddo dheer Hormarinta Qubes
Marxaladda ugu muhiimsan marka la eego xasilloonida nidaamka martida waa bilawga Windows, halkan waxaad ku arki kartaa shaashadda buluuga ah ee la yaqaan (ama xitaa ma arkin). Inta badan khaladaadka la aqoonsaday, waxaa jiray xalal kala duwan - baabi'inta darawalada qalabka Xen block, curyaaminta dheelitirka xusuusta VM, hagaajinta goobaha shabakada, iyo yaraynta tirada xudunta. Aaladaha martidayadu waxay dhisaan rakibo waxayna ku shaqeeyaan si buuxda Windows 7 iyo Windows 10 (marka laga reebo qvideo).
Markaad ka guurto jawiga dhabta ah una guurto mid toosan, dhibaato ayaa ka dhalata hawlgelinta Windows haddii noocyada OEM horay loo rakibay la isticmaalo. Nidaamyadan oo kale waxay adeegsadaan firfircooni ku saleysan shatiyada lagu qeexay UEFI aaladda. Si aad si sax ah u socodsiiso firfircoonida, waxaa lagama maarmaan ah in loo turjumo mid ka mid ah dhammaan qaybaha ACPI ee nidaamka martida loo yahay (SLIC miiska) nidaamka martida oo wax yar ka beddel kuwa kale, diiwaangelinta soo saaraha. Xen waxay kuu ogolaanaysaa inaad habayso waxa ACPI ee miisaska dheeraadka ah, laakiin adigoon wax ka beddelin kuwa ugu muhiimsan. Balastar ka yimid mashruuc OpenXT la mid ah, kaas oo loo habeeyey Qubes, ayaa ka caawiyay xalka. Hagaajintu waxay u ekayd mid anfacaysa annaga oo keliya oo waxaa loo turjumay kaydka Qubes ee ugu weyn iyo maktabadda Libvirt.
Khasaaraha muuqda ee aaladaha is dhexgalka Windows waxaa ka mid ah taageero la'aanta maqalka, aaladaha USB, iyo kakanaanta la shaqeynta warbaahinta, maadaama aysan jirin taageero qalab ah oo loogu talagalay GPU-da. Laakiin kuwa kor ku xusan kama hortagayaan isticmaalka VM ee la shaqeynta dukumentiyada xafiiska, mana ka hortagayaan bilaabista codsiyada gaarka ah ee shirkadaha.
Shuruudda loo beddelo habka hawlgalka iyada oo aan lahayn shabakad ama shabakad xaddidan ka dib markii la abuuray qaab dhismeedka Windows VM ayaa la buuxiyey iyada oo la abuurayo qaabaynta ku habboon ee VM-yada codsiga, iyo suurtogalnimada in si xushmad leh loogu xidho warbaahinta la saari karo ayaa sidoo kale lagu xalliyey aaladaha OS caadiga ah - marka la isku xiro. , waxay ku jiraan nidaamka VM sys-usb, halkaas oo laga "gudbin karo" VM loo baahan yahay. Miiska isticmaaluhu wuxuu u eg yahay wax sidan oo kale ah.
Nooca ugu dambeeya ee nidaamku wuxuu ahaa mid si togan (ilaa inta uu xalka dhammaystiran yahay u oggol yahay) isticmaalayaashu way aqbaleen, iyo aaladaha caadiga ah ee nidaamka ayaa suurtageliyay in la ballaariyo codsiga goobta shaqada mobilada ee isticmaalaha iyadoo la adeegsanayo VPN.
Halkii gabagabo
Virtualization guud ahaan waxay kuu ogolaaneysaa inaad hoos u dhigto khatarta isticmaalka nidaamyada Windows ee ka tagay taageero la'aan - kuma khasbeyso ku habboonaanta qalabka cusub, waxay kuu ogolaaneysaa inaad ka saarto ama aad maamusho marin u helka nidaamka shabakada ama aaladaha ku xiran, waxayna kuu ogolaaneysaa inaad hirgelin jawi bilow ah oo hal mar ah.
Iyada oo ku saleysan fikradda go'doominta iyada oo loo marayo farsamaynta, Qubes OS waxay kaa caawineysaa inaad ka faa'iideysato kuwan iyo hababka kale ee amniga. Marka laga soo tago dibadda, dad badani waxay u arkaan Qubes ugu horreyntii rabitaan qarsoodi ah, laakiin waa nidaam waxtar leh labadaba injineerada, kuwaas oo inta badan ku qulqulaya mashaariicda, kaabayaasha, iyo sirta si ay u helaan, iyo cilmi-baarayaasha amniga. Kala-soocidda codsiyada, xogta iyo qaabaynta is-dhexgalkooda ayaa ah tillaabooyinka bilowga ah ee falanqaynta khatarta iyo qaabaynta nidaamka amniga. Kala soocidaani waxay gacan ka geysataa qaabeynta macluumaadka iyo yareynta suurtagalnimada khaladaadka sababtoo ah qodobka aadanaha - degdegga, daalka, iwm.
Hadda, muhiimadda ugu weyn ee horumarinta ayaa ah ballaarinta shaqeynta deegaanka Linux. Nooca 4.1 ayaa loo diyaarinayaa siidaynta, kaas oo ku salaysnaan doona Fedora 31 oo ay ku jiraan noocyada hadda ee qaybaha muhiimka ah ee Xen iyo Libvirt. Waxaa xusid mudan in Qubes ay abuureen xirfadlayaasha amniga macluumaadka kuwaas oo had iyo jeer si degdeg ah u siidaaya cusbooneysiinta haddii hanjabaado ama khaladaad cusub la ogaado.
Kadib
Mid ka mid ah awoodaha tijaabada ah ee aan horumarineyno ayaa noo ogolaanaya inaan abuurno VM-yada taageerada gelitaanka martida ee GPU ee ku saleysan tignoolajiyada Intel GVT-g, taas oo noo ogolaaneysa inaan isticmaalno awoodaha adabtarada garaafyada oo si weyn u ballaariyo baaxadda nidaamka. Waqtiga qorista, shaqadani waxay u shaqeysaa dhisitaanka tijaabada Qubes 4.1, waana la heli karaa .
Source: www.habr.com