Cadwyno dau VPN: beth mae'n ei guddio a beth mae'n ei gostio

Nid yw dau dwnnel nythog yn eich gwneud yn anhysbys. Y maent yn rhannu'r arsylwadau rhwng dau ddarparwr, felly nid yw'r naill na'r llall yn gweld eich cyfeiriad cartref a'ch cyrchfan gyda'i gilydd. Mae hynny'n fudd gwir ond cul, ac mae'n dod â phroblemau llwybro, DNS ac MTU sy'n ymddangos y tro cyntaf y byddwch yn dibynnu arno.

1. Penderfynwch beth yw pwrpas yr ail naid

Ysgrifennwch y nod mewn un frawddeg cyn i chi ffurfweddu unrhyw beth. Os mai'r nod yw na all eich ISP weld pa safleoedd yr ydych yn ymweld â hwy, mae un twnnel yn cyflawni hynny. Os mai'r nod yw na all unrhyw un darparwr gysylltu eich cyfeiriad â'ch traffig, mae dau yn gwneud hynny. Os mai'r nod yw na all neb eich adnabod, nid oes nifer o naidiau yn cyrraedd yno.

Nid yw'r gadwyn ond cyn gryfed â chofnodion y darparwr gwannach a'r cyfrifon y mae'r ddau yn eu cadw. Mae taliadau, e-bost cofrestru a thelemetreg ap y tu allan i'r twnnel yn gyfan gwbl.

2. Gwnewch y pen mewnol yn gyrraeddadwy drwy'r twnnel allanol

Y methiant arferol yw na fydd y twnnel mewnol byth yn sefydlu. Mae cysylltiad allanol twnnel llawn yn berchen ar y llwybr diofyn, felly caiff ymgais y cleient mewnol i gyrraedd ei ben ei hun ei lyncu gan y twnnel allanol a'i ollwng neu ei roi mewn dolen. Mae'r pen mewnol angen llwybr penodol drwy'r rhyngwyneb allanol, wedi'i osod cyn i'r cleient mewnol ddechrau. Fel arall mae'r ysgydwad llaw yn rasio'r llwybr ac yn colli.

Mae WireGuard yn dangos yr un gwrthdaro o'r cyfeiriad arall. Mae AllowedIPs pob peer yn penderfynu pa gyrchfannau sy'n mynd i mewn i'r twnnel hwnnw, felly mae rhyngwyneb mewnol sy'n hawlio pob cyfeiriad hefyd yn hawlio'r pen allanol oni bai bod llwybr mwy penodol yn ennill. Mae AllowedIPs sy'n gorgyffwrdd ar draws dau ryngwyneb yn ffurfweddiad lle mae un ochr yn colli'n dawel.

Mae cadwyno cynwysyddion yn gwneud y gwahanu'n amlwg a'r fagl yn glir. Mae cynhwysydd â'i ofod enwau ei hun, ei lwybr diofyn ei hun a chleient y tu mewn yn anfon ymlaen yr hyn y mae'r gwesteiwr yn ei anfon ato; nid yw'r gwesteiwr ei hun yn dechrau defnyddio'r llwybr hwnnw. Galluogwch anfon ymlaen, ychwanegwch lwybr ar gyfer twnnel y cynhwysydd, a chyfeiriwch y gwasanaeth at gyfeiriad y cynhwysydd.

3. Cadwch DNS ar yr un llwybr

Rhaid i DNS deithio lle mae'r traffig yn teithio. Os yw'r darparwr mewnol yn gwthio datryswyr ac mae'r gwesteiwr yn dal i ofyn i'r rhai lleol, mae'r ymholiadau hynny'n datgelu'n union y safleoedd yr oedd y twnnel i fod i'w cuddio. Gwiriwch gyda chipolwg ar bob rhyngwyneb twnnel yn lle trystio panel statws y cleient. Mae gollyngiad yma'n anweledig yn ystod pori arferol ac yn amlwg mewn chipolwg.

Mae cynlluniau DNS hollt yn gwneud hyn yn anoddach, oherwydd gall ymholiad am enw lleol berthyn yn gyfreithlon y tu allan i'r twnnel. Ysgrifennwch y rhestr eithriadau yn fwriadol yn hytrach na'i darganfod oddi wrth ba bynnag ddatryswr a ddigwyddodd ateb.

4. Gosodwch MTU cyn i ddefnyddwyr ei ddarganfod drosoch chi

MTU yw'r dioddefwr rhagweladwy arall. Mae dau amgylchiad yn tynnu dau bennawd i ffwrdd, ac mae twnnel allanol sydd eisoes wedi gostwng MTU'r llwybr yn gadael llai o le y tu mewn. Mae'r symptomau'n gyfarwydd: mae ceisiadau bach yn llwyddo, mae trosglwyddiadau mawr ac ysgydwadau llaw TLS yn stondio.

ip link set dev wg1 mtu 1280 yw'r atgyweiriad di-frwyn, a gwasgu MSS ar y trosglwyddydd yw'r un taclusach. Nid yw ailgynnig y cysylltiad yn atgyweiriad o gwbl.

5. Profwch y methiant y byddwch yn ei gael mewn gwirionedd

Torrwch y twnnel allanol yn fwriadol a gwyliwch beth sy'n digwydd. Mae cadwyn sy'n cwympo'n dawel i lwybr uniongyrchol pan fydd y naid allanol yn marw yn waeth na dim cadwyn, oherwydd mae'n gollwng yn union y funud yr oeddech yn credu eich bod yn gaeedig. Ymddygiad i anelu ato yw switsh lladd sy'n stopio'r holl draffig. Cofnodwch y canlyniad, oherwydd ni fyddwch am ei ailddarganfod yng nghanol digwyddiad.

Mae oedi a man methu ail yn gost sefydlog. Mae dau naid hefyd yn golygu dwy giw cymorth pan fydd rhywbeth yn torri ar awr anghyfleus.