Bi VPN katean jarri: zer ezkutatzen duen eta zenbat kostatzen duen

Bi tunel habiaratuk ez zaituzte anonimo bihurtzen. Haiek bi hornitzaileren artean banatzen dituzte behaketak, beraz batek ere ez ditu zure etxeko helbidea eta zure helmuga batera ikusten. Benetako baina estu dagoen abantaila da, eta bideratze, DNS eta MTU arazoekin dator, haren mende lehen aldiz jartzen zarenean agertzen direnak.

1. Erabaki zertarako den bigarren jauzia

Idatzi helburua esaldi bakarrean ezer konfiguratu aurretik. Helburua zure ISPk zein gune bisitatzen dituzun ikusi ezin badu, tunel batek lortzen du. Helburua hornitzailerik bakar batek ere zure helbidea zure trafikoarekin lotu ezin badu, bik egiten dute. Helburua inork zu identifikatu ezin bazaitu, ez da jauzi kopuruak horra iristen.

Katearen indarra hornitzailerik ahulenaren erregistroek eta biek daramatzaten kontuak bezainbestekoa da. Ordainketak, izen-emateko posta eta aplikazioaren telemetria tunelatik erabat kanpo daude.

2. Egin barruko muturra kanpoko tunelaren bidez irisgarri

Ohiko hutsegitea barruko tunela inoiz ez ezartzea da. Kanpoko tunel osoko konexioak bide lehenetsia du, beraz barruko bezeroak bere muturrera iristeko egiten duen saiakera kanpoko tunelak irentsi eta bota edo begiztan jartzen du. Barruko muturrak kanpoko interfazearen bidezko bide esplizitua behar du, barruko bezeroa abiatu aurretik instalatua. Bestela eskuko keinua bidearekin lehiatu eta galtzen da.

WireGuardek gatazka bera erakusten du beste aldetik. Peer bakoitzaren AllowedIPs ezarpenak erabakitzen du zein helmuga sartzen diren tunel horretan, beraz helbide guztiak eskatzen dituen barruko interfaze batek kanpoko muturra ere eskatzen du, bide zehatzago batek irabazten ez badu behintzat. Bi interfazeren arteko AllowedIPs gainjartzea alde batek isilpean galtzen duen konfigurazioa da.

Eduki-ontzien kateak erabateko bereizketa egiten du eta tranpa begi-bistakoa da. Bere izen-espazioa, bide lehenetsia eta barruan bezero bat dituen edukiontziak ostalariak hari bidaltzen diona birbidaltzen du; ostalaria ez da bide hori erabiltzen hasten bere kabuz. Gaitu birbidaltzea, gehitu bide bat edukiontziaren tunelarentzat eta zuzendu zerbitzua edukiontziaren helbidera.

3. Eutsi DNS bide berari

DNSak trafikoak doan tokira joan behar du. Barruko hornitzaileak resolverak bultzatzen baditu eta ostalariak oraindik tokikoei galdetzen badie, bilaketa horiek tunelak ezkutatu behar zituen guneak agerian uzten dituzte. Egiaztatu tunel-interfaze bakoitzean harrapaketa batekin, bezeroaren egoera-panelean fidatu beharrean. Hemen isuri bat ikusezina da nabigazio arruntean eta begi-bistakoa harrapaketa batean.

DNS zatituaren diseinuek zailago egiten dute hori, izen lokal baten kontsulta legez tunelatik kanpo egon baitaiteke. Idatzi salbuespen-zerrenda nahita, erantzun zuen resolveraren arabera aurkitzen ibili beharrean.

4. Ezarri MTU erabiltzaileek zure ordez aurkitu aurretik

MTU da beste biktima aurreikustekoa. Bi kapsulatzeek bi goiburu kentzen dituzte, eta bidearen MTU jaitsi duen kanpoko tunel batek leku gutxiago uzten du barruan. Sintomak ezagunak dira: eskaera txikiek arrakasta dute, transferentzia handiek eta TLS esku-keinuek blokeatu egiten dute.

ip link set dev wg1 mtu 1280 konponbide zakarra da, eta MSS aurreratzailean mugatzea da dotoreena. Konexioa berriz saiatzea ez da inolako konponbidea.

5. Probatu benetan izango duzun hutsegitea

Hautsi kanpoko tunela nahita eta begiratu zer gertatzen den. Kanpoko jauzia hiltzen denean isilpean bide zuzen batera erortzen den katea katerik ez izatea baino okerragoa da, ustez estalita zeundela uste zenuen unean bertan ihes egiten baitu. Helburuko portaera trafiko guztia gelditzen duen kill switch bat da. Idatzi emaitza, ez baitzara istripu baten erdian berriro aurkitu nahi izango.

Latentzia eta bigarren hutsegite-puntuak dira kostu iraunkorrak. Bi jauzik bi laguntza-ilara ere esan nahi dute, zerbait ordu desegokian hondatzen denean.