Εταιρικό VPN μέσα στο WireGuard: ποιο επίπεδο έρχεται πρώτο;

Υπάρχουν δύο νόμιμοι λόγοι για φωλιασμένα τούνελ σε φορητό υπολογιστή προγραμματιστή. Είτε ο εταιρικός πελάτης πρέπει να φαίνεται ότι έρχεται από συγκεκριμένη χώρα, είτε δύο ιδιωτικά δίκτυα πρέπει να είναι προσβάσιμα ταυτόχρονα. Και στις δύο περιπτώσεις η εξωτερική σήραγγα πρέπει να μεταφέρει την ίδια τη σύνδεση του εσωτερικού πελάτη.

Το να ξεκινήσεις δύο πελάτες με οποιαδήποτε σειρά δεν το πετυχαίνει αυτό. Η δρομολόγηση το πετυχαίνει.

Συγκρίνετε τις δύο πιθανές σειρές

Επιλέξτε ως εξωτερικό επίπεδο τη σήραγγα της οποίας το τελικό σημείο είναι προσβάσιμο από το δημόσιο διαδίκτυο. Το εσωτερικό επίπεδο είναι η σήραγγα της οποίας ο διακομιστής απαντά μόνο μέσω αυτής της εξόδου. Στα Windows η πρακτική διαίρεση είναι WireGuard έξω και ο εταιρικός πελάτης μέσα. Ο καθοριστικός παράγοντας είναι ο έλεγχος.

Ο επίσημος πελάτης WireGuard εφαρμόζει ένα πλήρες αρχείο διαμόρφωσης, μαζί με διαδρομές και DNS. Οι εμπορικοί εταιρικοί πελάτες συνήθως κρύβουν και τα δύο. Αν βάλετε έναν κρυφό πελάτη απ' έξω, μένει να μαντεύετε τη διαδρομή από κάτω.

Η αντίστροφη σειρά δεν είναι αδύνατη. Είναι απλώς δυσκολότερο να τη σκεφτείς, γιατί ο εξωτερικός πελάτης ξαναγράφει διαδρομές με πρόγραμμα που δεν βλέπετε ποτέ.

Αφήστε το AllowedIPs να ονομάζει μόνο το εταιρικό εύρος

AllowedIPs απαριθμεί τους προορισμούς που δρομολογεί το WireGuard μέσα στη σήραγγα. Για τη φωλιά χρειάζεται μόνο τη διεύθυνση του εσωτερικού διακομιστή και τα εταιρικά προθέματα. Όλα τα άλλα μένουν στο τοπικό δίκτυο, μαζί με εκτυπωτές και hypervisor. Αυτό είναι μια διαχωρισμένη σήραγγα εκ σχεδιασμού, και αποφεύγει εντελώς το πρόβλημα του αποκλεισμού.

Ένα εξωτερικό επίπεδο πλήρους σήραγγας χρειάζεται 0.0.0.0/0 μείον τα τοπικά εύρη. Η μορφή δεν μπορεί να εκφράσει αποκλεισμό, οπότε το συμπλήρωμα πρέπει να υπολογιστεί και να επικολληθεί.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Όταν ο εσωτερικός πελάτης δεν εγκαθιστά τις δικές του διαδρομές, απαριθμήστε εσείς τα εταιρικά προθέματα. Ένα πρόθεμα που λείπει από εκείνη τη γραμμή είναι προορισμός που η εξωτερική σήραγγα δεν μεταφέρει ποτέ. Ένα μπαγιάτικο αντίγραφο της λίστας είναι χειρότερο από κανένα, γιατί εξακολουθεί να φαίνεται σωστό.

Σειρά, μετρικές και ο δεύτερος προσαρμογέας

Συνδέστε πρώτα την εξωτερική σήραγγα και μετά ξεκινήστε τον εταιρικό πελάτη. Τότε η σύνδεσή του στο τελικό σημείο βγαίνει μέσω WireGuard αντί για την τοπική πύλη. Δώστε στην εταιρική διεπαφή χαμηλότερη μετρική ώστε τα προθέματά της να κερδίζουν για τις διευθύνσεις που κατέχει.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

Οι μετρικές είναι το βήμα που παραλείπουν οι άνθρωποι. Χωρίς σειρά, για το επικαλυπτόμενο πρόθεμα κερδίζει η διαδρομή που εγκαταστάθηκε τελευταία. Αυτό αλλάζει μεταξύ εκκινήσεων, γι' αυτό το πρόβλημα φαίνεται διακοπτόμενο.

Οι πελάτες που βασίζονται στο OpenVPN 2.6 προσθέτουν δική τους παγίδα. Όταν ο προσαρμογέας εκφόρτωσης του καναλιού δεδομένων είναι ήδη κατειλημμένος, ένα δεύτερο στιγμιότυπο απλώς αρνείται να ξεκινήσει. Η προσθήκη disable-dco στο προφίλ επιστρέφει στην παλαιότερη διαδρομή TAP και τότε και τα δύο τρέχουν δίπλα-δίπλα.

Πού σπάει η φωλιασμένη διαδρομή

Η αποσύνδεση της εξωτερικής σήραγγας σκοτώνει την εσωτερική. Η επανασύνδεση μόνο του εσωτερικού πελάτη συχνά τον στέλνει κατευθείαν στο διαδίκτυο και αφαιρεί ήσυχα τη φωλιά. Δοκιμάζετε τη σειρά από την αρχή κάθε φορά, ξεκινώντας με τις δύο σήραγγες σταματημένες.

Περιμένετε μικρότερο ωφέλιμο MTU. Κάθε επίπεδο προσθέτει επιβάρυνση, οπότε ένα αρχικό ζεύγος γύρω στο 1420 και 1400 είναι ένα σημείο εκκίνησης. Μια μεταφορά που κολλάει σε μεγάλα πακέτα ενώ τα μικρά αιτήματα πετυχαίνουν είναι το συνηθισμένο σημάδι. Η εταιρική πολιτική είναι το άλλο όριο, γιατί ένας πελάτης που θέλει διαχειριζόμενη συσκευή μπορεί να θεωρήσει τη φωλιασμένη διαδρομή παράβαση.

Όταν τα δύο άκρα είναι σταθερά δίκτυα, μια σήραγγα από τοποθεσία σε τοποθεσία ανάμεσα στις πύλες αφαιρεί το πρόβλημα της σειράς αντί να το διαχειρίζεται. Σε ένα φορητό, δύο σήραγγες συνυπάρχουν μόνο όταν η καθεμία έχει τη δική της διεπαφή και έναν κανόνα που επιλέγει προορισμούς ανά πρόθεμα.