什么是 Qubes OS 的网络架构？为什么它如此特殊？

Qubes OS 是一款以安全为核心的操作系统，它通过 Xen Hypervisor 实现了强大的隔离功能。在 Qubes OS 中，网络配置与其他操作系统（如 Windows 或 Ubuntu）完全不同。它将网络功能从日常使用的 AppVM（应用程序虚拟机）中剥离出来，专门通过一个或多个 NetVM（网络虚拟机） 来处理所有的网络连接。

这种设计的核心理念是：如果一个虚拟机被网络攻击攻破，攻击者只能控制该虚拟机，而无法触及你的核心数据或其他应用程序。

核心概念解析

在开始配置之前，我们需要理解几个关键术语：

1. Sys-net (系统网络虚拟机)：这是负责实际硬件交互的虚拟机。它拥有你的网卡（Wi-Fi 或以太网）的控制权，负责处理 Wi-Fi 连接、DHCP 请求和 DNS 解析。通常基于 Fedora 或 Debian。
2. Sys-firewall (系统防火墙虚拟机)：这是一个基于 Xen 的防火墙，通常作为 Sys-net 和你的工作虚拟机之间的中间层。它只负责转发流量，不处理硬件。
3. AppVM (应用程序虚拟机)：这是你实际运行浏览器、邮件客户端或办公软件的地方（如 work，personal）。它们本身没有网络权限，必须通过 NetVM 进行联网。
4. NetworkVM (网络虚拟机)：有时你会创建专门用于 VPN 或代理的虚拟机。

第一部分：标准网络配置搭建全攻略（新手必看）

对于大多数新手来说，最推荐的配置是 “隔离式防火墙配置”，即：AppVM -> Sys-firewall -> Sys-net -> 互联网。这种配置提供了最佳的安全性。

步骤 1：检查当前网络状态

安装完 Qubes OS 后，首先检查网络是否已经工作。默认情况下，Qubes OS 会尝试自动配置 Sys-net。

1. 点击左上角的 Qubes 菜单。

2. 找到 sys-net，点击 Terminal。

3. 在终端中输入以下命令检查网络接口：

   # 查看是否有 IP 地址分配（通常看到 eth0 或 wlan0） ip addr 

4. 尝试 ping 一个地址：

   ping -c 4 8.8.8.8 

   如果看到回复，说明 Sys-net 已经联网。

步骤 2：创建并配置 Sys-firewall（防火墙虚拟机）

如果你的 Sys-net 已经工作，但你想增加一层安全保护，或者你的 Sys-net 无法直接连接互联网，你需要配置 Sys-firewall。

1. 打开 Qubes 设置工具：点击左上角菜单 -> System Tools -> Qubes Settings。
2. 创建新的防火墙 VM：
   • 在左侧选择 VM 标签页。
   • 点击 Add（添加）按钮。
   • 命名为 sys-firewall（或者你喜欢的名字，比如 my-firewall）。
   • 类型选择 Standalone template (networking)。
   • 模板选择 fedora-XX 或 debian-XX（与 Sys-net 保持一致通常较好）。
   • 点击 OK。
3. 配置网络路径：
   • 在 Qubes Settings 的 VM 标签页中，选中你刚才创建的 sys-firewall。
   • 点击右侧的 NetVM 选项卡。
   • 将 Network connection 设置为 sys-net（这意味着防火墙将从 sys-net 获取网络）。
4. 修改 AppVM 的网络设置：
   • 选中你的工作虚拟机（例如 work 或 personal）。
   • 在 NetVM 选项卡中，将 Network connection 设置为 sys-firewall。

配置后的效果：现在，work 虚拟机产生的所有流量都会先经过 sys-firewall，再到 sys-net，最后到达网卡。

步骤 3：配置静态 IP 或特定 DNS（针对企业网络）

如果你的网络环境不支持 DHCP（自动获取 IP），或者你需要指定 DNS 服务器，你需要修改 Sys-net 的配置文件。

注意： 修改 Sys-net 的配置文件需要在 Sys-net 内部进行。

1. 打开 Sys-net 的终端。
2. Qubes OS 使用 NetworkManager 管理网络。你可以使用 nmtui（文本界面）或 nmcli（命令行）来配置。

使用 nmtui 配置静态 IP 的示例：

在 Sys-net 终端输入：

sudo nmtui 

• 选择 Edit a connection。
• 选择你的网卡（例如 System eth0）。
• 将 IPv4 CONFIGURATION 从 <Automatic> 改为 <Manual>。
• 填写 Addresses（例如 192.168.1.100/24）。
• 填写 Gateway（例如 192.168.1.1）。
• 填写 DNS servers（例如 8.8.8.8）。
• 选择 OK 保存，然后选择 Back 返回主菜单，最后选择 Activate a connection 激活更改。

第二部分：进阶网络配置：VPN 与代理

在 Qubes OS 中，VPN 的配置策略与普通 Linux 不同。为了防止 VPN 客户端泄露真实 IP，通常建议将 VPN 客户端运行在一个专门的 NetVM 中。

场景：为特定 AppVM 配置 VPN

假设你有一个 anon-vpn 虚拟机，你希望 work 虚拟机的所有流量都通过这个 VPN 出去。

步骤 1：创建专门的 VPN VM

1. 创建一个新的 VM，命名为 anon-vpn。
2. 类型选择 Standalone template (networking)。
3. 模板选择 fedora 或 debian。

步骤 2：在 VPN VM 中安装 OpenVPN 打开 anon-vpn 的终端，安装 OpenVPN 客户端：

# Fedora sudo dnf install openvpn network-manager-openvpn-gnome # Debian sudo apt-get install openvpn network-manager-openvpn-gnome 

步骤 3：导入配置文件

1. 将你的 .ovpn 配置文件复制到 anon-vpn 中（可以通过 qvm-copy-to-vm 或在 anon-vpn 中下载）。

2. 在 anon-vpn 中打开终端，导入配置：

   # 假设配置文件在 ~/Downloads/client.ovpn sudo cp ~/Downloads/client.ovpn /etc/openvpn/client/ sudo systemctl start openvpn-client@client 

   或者使用 NetworkManager GUI 导入。

步骤 4：设置网络链路 这是最关键的一步，必须按顺序设置：

1. 设置 anon-vpn 的 NetVM：将 anon-vpn 的 NetVM 设置为 sys-firewall（或 sys-net）。这样 anon-vpn 才能连上互联网去拨 VPN。
2. 设置 work 的 NetVM：将 work 虚拟机的 NetVM 设置为 anon-vpn。

结果：work -> anon-vpn (加密流量) -> sys-firewall -> sys-net -> 互联网。

第三部分：常见问题解决指南 (Troubleshooting)

新手在使用 Qubes OS 网络时经常会遇到问题。以下是常见问题及其解决方案。

问题 1：Sys-net 无法启动或 Wi-Fi 消失

症状：Sys-net 报错，或者重启后 Wi-Fi 按钮灰色无法点击。

原因：这通常是因为 PCI 设备（网卡）的驱动问题，或者 PCI Passthrough（直通）失败。

解决方案：

1. 检查 PCI 设备： 在 dom0（主控制台）的终端输入：

   qvm-pci ls 

   找到你的网卡（通常包含 Network controller 或 Wireless 字样），记下它的 ID（例如 dom0:04_00.0）。

2. 将网卡绑定到 Sys-net： 如果网卡还在 dom0，你需要把它移过去：

   qvm-pci attach --persistent sys-net dom0:04_00.0 

   注意：--persistent 参数确保重启后依然有效。

3. 处理驱动冲突： 如果 Sys-net 是 Fedora 模板，尝试切换到 Debian 模板，反之亦然。某些 Intel 或 Broadcom 网卡在 Debian 下驱动支持更好。

问题 2：AppVM 无法联网 (Ping: Name or service not known)

症状：Sys-net 和 Sys-firewall 都能 ping 通 8.8.8.8，但 work 虚拟机无法打开网页，甚至无法 ping 通 IP。

原因：这通常是防火墙规则或网络桥接问题。

解决方案：

1. 检查 NetVM 设置： 右键点击 work 虚拟机 -> Settings -> NetVM。确保它指向了正确的防火墙或 VPN VM。
2. 检查 Sys-firewall 的状态： 打开 sys-firewall 的终端，输入：

    sudo iptables -L -n -v 

   查看是否有拒绝（REJECT）或丢弃（DROP）的规则。默认的 sys-firewall 应该允许所有来自内部的流量。

3. DNS 问题： 如果你能 ping 通 8.8.8.8 但无法打开网页，说明是 DNS 解析失败。

   • 在 work 虚拟机中，尝试修改 DNS：

     sudo nano /etc/resolv.conf # 添加 nameserver 8.8.8.8 

   • 或者在 sys-firewall 中检查 DNS 转发设置。

问题 3：Qubes Network Manager 图标消失

症状：Sys-net 右上角的网络图标不见了，无法连接 Wi-Fi。

原因：NetworkManager 服务崩溃或未启动。

解决方案： 在 Sys-net 终端中重启服务：

sudo systemctl restart NetworkManager 

如果依然无效，尝试重启 Sys-net 虚拟机： 在 dom0 终端输入：

qvm-shutdown --force sys-net qvm-start sys-net 

问题 4：USB 网络适配器无法使用

症状：插入 USB 网卡，但在 Sys-net 中看不到。

原因：USB 设备默认连接到 dom0，需要手动绑定到 Sys-net。

解决方案：

1. 在 dom0 终端查看 USB 设备：

    qvm-usb ls 

2. 将设备附加到 Sys-net：

    qvm-usb attach sys-net <设备ID> 

   例如：qvm-usb attach sys-net sys-usb:2-1。

总结与最佳实践

1. 永远不要 在 Sys-net 中处理敏感文件或浏览网页。它是一个暴露在互联网上的脆弱点。

2. 善用模板：如果你需要在多个虚拟机中使用相同的 VPN 配置，考虑创建一个专门的模板，而不是在每个 VM 中重复安装。

3. 更新：定期更新你的模板（Fedora/Debian）和 dom0：

   # 在 dom0 运行 sudo qubes-dom0-update # 在模板 VM 中运行（例如 fedora-38） sudo dnf update 

4. 隔离：不要把所有东西都连在同一个 NetVM 上。为银行、工作、匿名浏览创建不同的网络链路。

通过遵循本指南，你应该能够建立起一个既安全又稳定的 Qubes OS 网络环境。如果遇到棘手的错误，检查 sys-net 的日志通常是排查问题的第一步。