Enpresa VPN WireGuard-en barruan: zein geruza doa lehenengo?

Makinako bi bezerok soilik funtzionatzen dute kanpoko tunelak barneko bezeroaren beraren konexioa eramaten duenean eta metrikek prefikseko interfaze egokia hautatzen dutenean.

Bi arrazoi zilegi daude garatzaile baten eramangarrian tunelak habiaratzeko. Edo bezero korporatiboak herrialde jakin batetik datorrela eman behar du, edo bi sare pribatu aldi berean irisgarri izan behar dira. Bi kasuetan kanpoko tunelak barneko bezeroaren beraren konexioa eraman behar du.

Bi bezero edozein ordenatan abiarazteak ez du hori lortzen. Bideratzeak lortzen du.

Konparatu bi ordena posibleak

Hautatu kanpoko geruza internet publikotik irisgarria den amaierako puntua duen tunela bezala. Barneko geruza amaierako puntu horretatik bakarrik erantzuten duen zerbitzaria duen tunela da. Windows-en banaketa praktikoa WireGuard kanpoan eta bezero korporatiboa barruan da. Faktore erabakigarria kontrola da.

WireGuard-en bezero ofizialak konfigurazio fitxategi osoa aplikatzen du, bideak eta DNS barne. Bezero korporatibo komertzialek biak ezkutatzen dituzte normalean. Bezero ezkutu bat kanpoan jartzeak haren azpiko bidea asmatzen uzten zaitu.

Alderantzizko ordena ez da ezinezkoa. Zailagoa da horri buruz arrazoitzea, kanpoko bezeroak inoiz ikusten ez duzun egutegi baten arabera berridazten baititu bideak.

Utzi AllowedIPs-ri enpresa-barrutia soilik izendatzen

AllowedIPs tunelera WireGuard-ek bideratzen dituen helmugak zerrendatzen ditu. Habiaratzeko barneko zerbitzariaren helbidea eta enpresa-prefixak baino ez ditu behar. Gainerako guztia sare lokalean geratzen da, inprimagailuak eta hiperbisorea barne. Hau diseinuz banatutako tunel bat da, eta bazterketa arazoa erabat saihesten du.

Tunel osoa duen kanpoko geruza batek behar du 0.0.0.0/0 ken tokiko barrutiak. Formatuak ezin du bazterketarik adierazi, beraz osagarria kalkulatu eta itsatsi egin behar da.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Barneko bezeroak bere bideak instalatzen ez dituenean, zerrendatu enpresa-prefixak zuk zeuk. Lerro horretatik kanpo utzitako prefixa kanpoko tunelak inoiz eramaten ez duen helmuga da. Zerrendaren kopia zaharkitu bat bat ere ez baino okerragoa da, oraindik zuzena ematen baitu.

Ordena, metrikak eta bigarren egokitzailea

Konektatu kanpoko tunela lehenengo, eta gero abiarazi bezero korporatiboa. Orduan haren amaierako puntuaren konexioa WireGuard-etik irteten da, tokiko atebidearen ordez. Eman enpresa-interfazeari metrika baxuagoa, bere prefixak jabe dituen helbideetan irabaz dezan.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

Metrikak jendeak saltatzen duen urratsa dira. Orderarik gabe, gainjartzen den prefixarentzat azken instalatutako bideak irabazten du. Hori abioen artean aldatzen da, eta horregatik arazoa tartekakoa dirudi.

OpenVPN 2.6-n oinarritutako bezeroek beren tranpa gehitzen dute. Datu-kanalaren deskarga egokitzailea jada okupatuta dagoenean, bigarren instantzia batek ez du abiarazi nahi izaten. Profilari disable-dco gehitzeak TAP bide zaharrera itzultzen du, eta orduan biak elkarren ondoan ibiltzen dira.

Non hausten den habiaratutako bidea

Kanpoko tunela deskonektatzeak barnekoa hiltzen du. Barneko bezeroa bakarrik berriz konektatzeak sarritan zuzenean internet-era bidaltzen du eta isilka kentzen du habiaratzea. Probatu sekuentzia hutsetik aldiro, bi tunelak geldituta hasita.

Espero ezazu MTU erabilgarri txikiagoa. Geruza bakoitzak gainkarga gehitzen du, beraz 1420 eta 1400 inguruko hasierako bikotea abiapuntu ona da. Pakete handiekin trabatzen den transferentzia, eskaera txikiek funtzionatzen duten bitartean, ohiko seinalea da. Enpresa-politika da beste muga, gailu kudeatua nahi duen bezero batek habiaratutako bidea urraketa gisa har baitezake.

Bi muturrak sare finkoak direnean, atebideen arteko gunez guneko tunel batek ordena-arazoa kentzen du, kudeatu beharrean. Eramangarri bakarrean, bi tunel elkarrekin bizi dira bakoitzak bere interfazea eta prefixuz helmugak hautatzen dituen araua dituenean soilik.

Erlazionatutako artikuluak