Kahe VPN-i aheldamine: mida see peidab ja mida maksab

Kaks pesastatud tunnelit ei tee sind anonüümseks. Need jagavad vaatlused kahe teenusepakkuja vahel, nii et kumbki ei näe korraga sinu kodust aadressi ja sihtkohta. See on tõeline, kuid kitsas eelis ja sellega kaasnevad marsruutimise, DNS-i ja MTU probleemid, mis ilmnevad esimest korda siis, kui sellele lootma hakkad.

1. Otsusta, milleks teine hüpe on

Kirjuta eesmärk ühe lausega üles enne, kui midagi seadistad. Kui eesmärk on, et sinu ISP ei näe, milliseid saite külastad, saavutab selle üks tunnel. Kui eesmärk on, et ükski üksik pakkuja ei saa sinu aadressi sinu liiklusega siduda, teevad seda kaks. Kui eesmärk on, et keegi ei saa sind tuvastada, ei vii sinna ükski hüpete arv.

Ahel on ainult nii tugev kui nõrgema pakkuja logid ja kontod, mida mõlemad peavad. Maksed, registreerimise e-kiri ja rakenduse telemeetria on tunnelist täiesti väljas.

2. Tee sisemine ots välimise tunneli kaudu kättesaadavaks

Tavaline ebaõnnestumine on see, et sisemine tunnel ei püsti kunagi. Täistunneliga välimine ühendus omab vaikimisi marsruuti, nii et sisemise kliendi katse jõuda omaenda otsani neelab välimine tunnel alla ning see visatakse ära või pannakse silmusesse. Sisemine ots vajab selget marsruuti läbi välimise liidese, mis paigaldatakse enne sisemise kliendi käivitumist. Muidu võistleb kätlemine marsruudiga ja kaotab.

WireGuard näitab sama konflikti teisest suunast. Iga peeri AllowedIPs otsustab, millised sihtkohad sellesse tunnelisse sisenevad, nii et sisemine liides, mis nõuab iga aadressi, nõuab ka välimist otsa, kui just täpsem marsruut ei võida. Kattuvad AllowedIPs kahel liidesel on seadistus, kus üks pool kaotab vaikselt.

Konteinerite aheldamine teeb eralduse selgeks ja lõksu ilmsiks. Konteiner, millel on oma nimeruum, oma vaikimisi marsruut ja klient sees, edastab selle, mida host talle saadab; host ise ei hakka seda teed kasutama. Lülita edastamine sisse, lisa konteineri tunneli jaoks marsruut ja suuna teenus konteineri aadressile.

3. Hoia DNS samal teel

DNS peab liikuma seal, kus liigub liiklus. Kui sisemine pakkuja pakub resolvereid ja host küsib endiselt kohalikke, paljastavad need päringud täpselt need saidid, mida tunnel pidi peitma. Kontrolli iga tunneli liidesel püüdmisega, selle asemel et usaldada kliendi olekupaneeli. Leke on siin tavalise sirvimise ajal nähtamatu ja püüdmises ilmne.

Jagatud DNS-i lahendused teevad selle raskemaks, sest kohaliku nime päring võib õiguspäraselt kuuluda väljapoole tunnelit. Kirjuta erandite nimekiri teadlikult üles, selle asemel et see avastada selle järgi, milline resolver juhtus vastama.

4. Sea MTU enne, kui kasutajad selle sinu eest avastavad

MTU on teine ettearvatav ohver. Kaks kapseldust lahutavad kaks päist ja välimine tunnel, mis on tee MTU juba alla toonud, jätab sisemusse vähem ruumi. Sümptomid on tuttavad: väikesed päringud õnnestuvad, suured ülekanded ja TLS-i kätlemised takerduvad.

ip link set dev wg1 mtu 1280 on jäme lahendus ja MSS-i piiramine edastajal on puhtam. Ühenduse uuesti proovimine ei ole üldse lahendus.

5. Testi tõrget, mille sa tegelikult saad

Katkesta välimine tunnel meelega ja vaata, mis juhtub. Ahel, mis langeb vaikselt otseteele, kui välimine hüpe sureb, on hullem kui ahela puudumine, sest see lekib täpselt sel hetkel, kui arvasid, et oled kaetud. Sihipärane käitumine on kill switch, mis peatab kogu liikluse. Pane tulemus kirja, sest sa ei taha seda intsidendi keskel uuesti avastada.

Latentsus ja teine tõrkepunkt on püsiv kulu. Kaks hüpet tähendab ka kahte tugijärjekorda, kui midagi läheb ebamugaval tunnil katki.