Řetězení dvou VPN: co skryje a co stojí

Dva vnořené tunely vás neudělají anonymními. Jen rozdělují pozorování mezi dva poskytovatele, takže ani jeden nevidí vaši domácí adresu a váš cíl současně. To je skutečná, ale úzká výhoda a přichází s problémy se směrováním, DNS a MTU, které se objeví, jakmile na ni poprvé spoléháte.

1. Rozhodněte, k čemu má druhý skok sloužit

Napište cíl jednou větou, než cokoli nastavíte. Pokud je cílem, aby váš ISP neviděl, které stránky navštěvujete, jeden tunel to splní. Pokud je cílem, aby žádný poskytovatel nemohl spojit vaši adresu s vaším provozem, dva to splní. Pokud je cílem, aby vás nikdo nedokázal identifikovat, tam se nedostanete žádným počtem skoků.

Řetěz je jen tak silný, jak silné jsou záznamy slabšího poskytovatele a účty, které oba vedou. Platby, registrační e-mail a telemetrie aplikace zůstávají zcela mimo tunel.

2. Zpřístupněte vnitřní konec přes vnější tunel

Obvyklá závada je, že se vnitřní tunel nikdy nenaváže. Vnější připojení s plným tunelem vlastní výchozí trasu, takže pokus vnitřního klienta dostat se na vlastní konec vnější tunel pohltí a zahodí nebo zacyklí. Vnitřní konec potřebuje explicitní trasu přes vnější rozhraní, zavedenou dřív, než se vnitřní klient spustí. Jinak se handshake předhání s trasou a prohrává.

WireGuard ukazuje stejný konflikt z opačné strany. Každý peer má AllowedIPs, který rozhoduje, které cíle do tunelu vstoupí, takže vnitřní rozhraní nárokující si každou adresu si nárokuje i vnější konec, pokud nevyhraje konkrétnější trasa. Překrývající se AllowedIPs na dvou rozhraních je konfigurace, v níž jedna strana tiše prohrává.

Řetězení kontejnerů dělá oddělení explicitním a past zřejmou. Kontejner s vlastním jmenným prostorem, vlastní výchozí trasou a klientem uvnitř přeposílá to, co mu hostitel pošle; hostitel sám tu cestu nezačne používat. Zapněte přeposílání, přidejte trasu pro tunel kontejneru a nasměrujte službu na adresu kontejneru.

3. Držte DNS na stejné cestě

DNS musí putovat tam, kam putuje provoz. Pokud vnitřní poskytovatel nabízí resolvery a hostitel se stále ptá těch místních, tyto dotazy prozradí přesně ty stránky, které měl tunel skrýt. Ověřujte zachycením na každém rozhraní tunelu, místo abyste věřili stavovému panelu klienta. Únik je tu při běžném prohlížení neviditelný a v zachycení zřejmý.

Rozdělené DNS návrhy to ztěžují, protože dotaz na místní jméno může legitimně patřit mimo tunel. Napište seznam výjimek záměrně, místo abyste ho objevovali podle toho, který resolver zrovna odpověděl.

4. Nastavte MTU dřív, než to za vás zjistí uživatelé

MTU je druhá předvídatelná oběť. Dvě zapouzdření odečtou dvě hlavičky a vnější tunel, který už snížil MTU cesty, nechává uvnitř méně místa. Příznaky jsou známé: malé požadavky projdou, velké přenosy a TLS handshaky se zaseknou.

ip link set dev wg1 mtu 1280 je hrubé řešení a sevření MSS na přeposílači je ta uhlazenější varianta. Opakovat připojení není žádné řešení.

5. Otestujte selhání, které skutečně dostanete

Schválně přerušte vnější tunel a sledujte, co se stane. Řetěz, který při smrti vnějšího skoku tiše spadne na přímou cestu, je horší než žádný řetěz, protože uniká právě ve chvíli, kdy jste věřili, že jste krytí. Cílem je kill switch, který zastaví veškerý provoz. Výsledek si zapište, protože ho nebudete chtít znovu objevovat uprostřed incidentu.

Latence a druhý bod selhání jsou trvalé náklady. Dva skoky také znamenají dvě fronty podpory, když se něco pokazí v nevhodnou hodinu.