Αλυσίδωση δύο VPN: τι κρύβει και τι κοστίζει

Δύο ένθετες σήραγγες δεν σας κάνουν ανώνυμους. Αυτό που κάνουν είναι να μοιράζουν τις παρατηρήσεις ανάμεσα σε δύο παρόχους, ώστε κανένας από τους δύο να μη βλέπει μαζί τη διεύθυνση του σπιτιού σας και τον προορισμό σας. Είναι ένα πραγματικό αλλά στενό όφελος, και έρχεται με προβλήματα δρομολόγησης, DNS και MTU που εμφανίζονται την πρώτη φορά που θα βασιστείτε σε αυτό.

1. Αποφασίστε σε τι χρησιμεύει το δεύτερο άλμα

Γράψτε τον στόχο σε μία πρόταση πριν ρυθμίσετε οτιδήποτε. Αν ο στόχος είναι να μη βλέπει ο πάροχός σας ποιους ιστότοπους επισκέπτεστε, μία σήραγγα το πετυχαίνει. Αν είναι κανένας μεμονωμένος πάροχος να μην μπορεί να συνδέσει τη διεύθυνσή σας με την κίνησή σας, δύο το πετυχαίνουν. Αν είναι κανείς να μην μπορεί να σας ταυτοποιήσει, κανένας αριθμός αλμάτων δεν φτάνει εκεί.

Η αλυσίδα είναι τόσο ισχυρή όσο τα αρχεία του ασθενέστερου παρόχου και οι λογαριασμοί που κρατούν και οι δύο. Οι πληρωμές, το email εγγραφής και η τηλεμετρία της εφαρμογής μένουν εντελώς έξω από τη σήραγγα.

2. Κάντε το εσωτερικό άκρο προσβάσιμο μέσα από την εξωτερική σήραγγα

Η συνηθισμένη αποτυχία είναι να μην εγκαθίσταται ποτέ η εσωτερική σήραγγα. Μια εξωτερική σύνδεση με πλήρη σήραγγα κατέχει την προεπιλεγμένη διαδρομή, οπότε η προσπάθεια του εσωτερικού πελάτη να φτάσει στο δικό του άκρο καταπίνεται από την εξωτερική σήραγγα και απορρίπτεται ή οδηγείται σε βρόχο. Το εσωτερικό άκρο χρειάζεται ρητή διαδρομή μέσω της εξωτερικής διεπαφής, εγκατεστημένη πριν ξεκινήσει ο εσωτερικός πελάτης. Αλλιώς η χειραψία συναγωνίζεται τη διαδρομή και χάνει.

Το WireGuard δείχνει την ίδια σύγκρουση από την άλλη κατεύθυνση. Το AllowedIPs κάθε peer καθορίζει ποιοι προορισμοί μπαίνουν σε εκείνη τη σήραγγα, οπότε μια εσωτερική διεπαφή που διεκδικεί κάθε διεύθυνση διεκδικεί και το εξωτερικό άκρο, εκτός αν κερδίσει μια πιο συγκεκριμένη διαδρομή. Η επικάλυψη AllowedIPs σε δύο διεπαφές είναι μια διαμόρφωση όπου η μία πλευρά χάνει σιωπηλά.

Η αλυσίδωση container κάνει τον διαχωρισμό ρητό και την παγίδα προφανή. Ένα container με δικό του namespace, δική του προεπιλεγμένη διαδρομή και έναν πελάτη μέσα του προωθεί ό,τι του στέλνει ο host; ο host δεν αρχίζει από μόνος του να χρησιμοποιεί αυτή τη διαδρομή. Ενεργοποιήστε την προώθηση, προσθέστε διαδρομή για τη σήραγγα του container και κατευθύνετε την υπηρεσία στη διεύθυνση του container.

3. Κρατήστε το DNS στην ίδια διαδρομή

Το DNS πρέπει να ταξιδεύει όπου ταξιδεύει η κίνηση. Αν ο εσωτερικός πάροχος προωθεί resolvers και ο host εξακολουθεί να ρωτά τους τοπικούς, αυτές οι αναζητήσεις αποκαλύπτουν ακριβώς τους ιστότοπους που η σήραγγα έπρεπε να κρύψει. Ελέγξτε με σύλληψη σε κάθε διεπαφή σήραγγας αντί να εμπιστεύεστε τον πίνακα κατάστασης του πελάτη. Μια διαρροή εδώ είναι αόρατη στην κανονική περιήγηση και προφανής σε μια σύλληψη.

Τα σχέδια διαχωρισμένου DNS το κάνουν δυσκολότερο, γιατί ένα ερώτημα για τοπικό όνομα μπορεί νόμιμα να ανήκει έξω από τη σήραγγα. Γράψτε τη λίστα εξαιρέσεων σκόπιμα αντί να την ανακαλύπτετε από όποιον resolver έτυχε να απαντήσει.

4. Ορίστε το MTU πριν το ανακαλύψουν οι χρήστες για εσάς

Το MTU είναι το άλλο προβλέψιμο θύμα. Δύο ενθυλακώσεις αφαιρούν δύο κεφαλίδες και μια εξωτερική σήραγγα που έχει ήδη χαμηλώσει το MTU της διαδρομής αφήνει λιγότερο χώρο μέσα. Τα συμπτώματα είναι γνωστά: μικρά αιτήματα περνούν, μεγάλες μεταφορές και χειραψίες TLS κολλάνε.

ip link set dev wg1 mtu 1280 είναι η ωμή λύση, και το σφίξιμο του MSS στον προωθητή είναι η καθαρότερη. Το να ξαναδοκιμάσετε τη σύνδεση δεν είναι διόρθωση καθόλου.

5. Δοκιμάστε την αποτυχία που θα πάθετε πραγματικά

Σπάστε επίτηδες την εξωτερική σήραγγα και δείτε τι συμβαίνει. Μια αλυσίδα που πέφτει σιωπηλά σε άμεση διαδρομή όταν πεθάνει το εξωτερικό άλμα είναι χειρότερη από καθόλου αλυσίδα, γιατί διαρρέει ακριβώς τη στιγμή που πιστεύατε ότι καλύπτεστε. Συμπεριφορά-στόχος είναι ένας διακόπτης που σταματά όλη την κίνηση. Καταγράψτε το αποτέλεσμα, γιατί δεν θα θέλετε να το ανακαλύψετε ξανά στη μέση ενός περιστατικού.

Η καθυστέρηση και ένα δεύτερο σημείο αποτυχίας είναι το μόνιμο κόστος. Δύο άλματα σημαίνουν και δύο ουρές υποστήριξης όταν κάτι χαλάσει σε άβολη ώρα.