VPN corfforaethol y tu mewn i WireGuard: pa haen sy'n dod gyntaf?

Mae dau gleient ar un peiriant yn gweithio dim ond pan fydd y twmnel allanol yn cario pwynt terfyn y cleient mewnol ac mae metrigau'n dewis y rhyngwyneb iawn ar gyfer pob rhagddodiad.

Mae dau reswm dilys dros nythu twmneli ar liniadur datblygwr. Naill ai bod yn rhaid i'r cleient corfforaethol ymddangos fel pe bai'n dod o wlad benodol, neu fod angen i ddau rwydwaith preifat fod yn gyrraeddadwy ar yr un pryd. Mae'r ddau achos angen i'r twmnel allanol gario cysylltiad y cleient mewnol ei hun.

Nid yw cychwyn dau gleient mewn unrhyw drefn yn cynhyrchu hynny. Y llwybro sy'n gwneud hynny.

Cymharwch y ddwy drefn bosibl

Dewiswch yr haen allanol fel y twmnel y gellir cyrraedd ei bwynt terfyn o'r rhyngrwyd cyhoeddus. Yr haen fewnol yw'r twmnel nad yw ei weinydd yn ateb ond drwy'r allanfa honno. Ar Windows y rhaniad ymarferol yw WireGuard y tu allan a'r cleient corfforaethol y tu mewn. Y ffactor benderfynol yw rheolaeth.

Mae cleient swyddogol WireGuard yn cymhwyso ffeil ffurfweddu gyflawn, gan gynnwys llwybrau a DNS. Mae cleientiaid corfforaethol masnachol fel arfer yn cuddio'r ddau. Mae rhoi cleient cudd ar y tu allan yn eich gadael i ddyfalu am y llwybr oddi tano.

Nid yw'r drefn wrthdro yn amhosibl. Mae'n anoddach rhesymu amdani, oherwydd bod y cleient allanol yn ailysgrifennu llwybrau ar amserlen na welwch chi byth.

Gadewch i AllowedIPs enwi'r amrediad corfforaethol yn unig

AllowedIPs yn rhestru'r cyrchfannau y mae WireGuard yn eu llwybro i'r twmnel. Ar gyfer nythu dim ond cyfeiriad y gweinydd mewnol a'r rhagddodiaid corfforaethol sydd ei angen arno. Mae popeth arall yn aros ar y rhwydwaith lleol, gan gynnwys argraffwyr a'r hypervisor. Twmnel hollt yw hwn yn ôl ei gynllun, ac mae'n osgoi'r broblem eithrio'n llwyr.

Mae angen i haen allanol twmnel llawn 0.0.0.0/0 heb yr amrediadau lleol. Ni all y fformat fynegi eithriad, felly rhaid cyfrifo'r cyflenwad a'i ludo i mewn.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Pan nad yw'r cleient mewnol yn gosod ei lwybrau ei hun, rhestrwch y rhagddodiaid corfforaethol eich hun. Mae rhagddodiad a adawyd oddi ar y llinell honno yn gyrchfan nad yw'r twmnel allanol byth yn ei chario. Mae copi hen o'r rhestr yn waeth nag un dim, oherwydd ei fod yn dal i edrych yn gywir.

Trefn, metrigau a'r ail addasydd

Cysylltwch y twmnel allanol yn gyntaf, yna cychwynnwch y cleient corfforaethol. Yna mae ei gysylltiad pwynt terfyn yn gadael drwy WireGuard yn lle'r porth lleol. Rhowch fetrig is i'r rhyngwyneb corfforaethol fel bod ei ragddodiaid yn ennill ar gyfer y cyfeiriadau y mae'n berchen arnynt.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

Metrigau yw'r cam y mae pobl yn ei hepgor. Heb drefn, y llwybr a osodwyd olaf sy'n ennill ar gyfer y rhagddodiad sy'n gorgyffwrdd. Mae hynny'n newid rhwng cychwyniadau, a dyna pam mae'r broblem yn edrych yn ysbeidiol.

Mae cleientiaid a adeiladwyd ar OpenVPN 2.6 yn ychwanegu trap eu hunain. Pan fydd y addasydd dadlwytho sianel ddata eisoes yn cael ei ddefnyddio, mae ail enghraifft yn gwrthod cychwyn yn syml. Mae ychwanegu disable-dco at y proffil yn dychwelyd i'r llwybr TAP hŷn, ac yna mae'r ddau yn rhedeg ochr yn ochr.

Lle mae'r llwybr nythog yn torri

Mae datgysylltu'r twmnel allanol yn lladd yr un mewnol. Mae ailgysylltu'r cleient mewnol yn unig yn aml yn ei anfon yn syth i'r rhyngrwyd, gan dynnu'r nythu'n dawel. Profwch y dilyniant o'r dechrau bob tro, gan ddechrau gyda'r ddau dwmnel wedi'u stopio.

Disgwyliwch MTU defnyddiadwy llai. Mae pob haen yn ychwanegu gorbenion, felly mae pâr cychwynnol o gwmpas 1420 a 1400 yn fan i ddechrau. Trosglwyddiad sy'n hongian ar becynnau mawr tra bo ceisiadau bach yn llwyddo yw'r arwydd arferol. Polisi corfforaethol yw'r terfyn arall, oherwydd gall cleient sy'n dymuno dyfais a reolir ystyried llwybr nythog yn doriad.

Pan fydd y ddau ben yn rhwydweithiau sefydlog, mae twmnel safle-i-safle rhwng y pyrth yn dileu'r broblem trefnu yn lle ei rheoli. Ar un liniadur, mae dau dwmnel yn cydfodoli dim ond pan fydd gan bob un ei ryngwyneb ei hun a rheol sy'n dewis cyrchfannau fesul rhagddodiad.

Erthyglau cysylltiedig