VPN corporativa dentro de WireGuard: que capa vai primeiro?

Dous clientes nunha mesma máquina só funcionan cando o túnel exterior transporta o punto final do cliente interior e as métricas elixen a interface correcta para cada prefixo.

Hai dúas razóns lexítimas para aniñar túneles nun portátil de desenvolvemento. Ou o cliente corporativo ten que parecer que vén dun país concreto, ou dúas redes privadas deben ser accesibles ao mesmo tempo. Ambos os casos necesitan que o túnel exterior transporte a propia conexión do cliente interior.

Arrancar dous clientes en calquera orde non o consegue. Consegueo o encamiñamento.

Compare as dúas ordes posibles

Escolla a capa exterior como o túnel cuxo punto final é accesible desde internet pública. A capa interior é o túnel cuxo servidor só responde a través desa saída. En Windows a división práctica é WireGuard fóra e o cliente corporativo dentro. O factor decisivo é o control.

O cliente oficial de WireGuard aplica un ficheiro de configuración completo, rutas e DNS incluídos. Os clientes corporativos comerciais adoitan ocultar ambas as cousas. Poñer un cliente oculto fóra déixalle adiviñando a ruta que hai debaixo.

A orde inversa non é imposible. É máis difícil de razoar, porque o cliente exterior reescribe as rutas segundo un calendario que nunca ve.

Deixe que AllowedIPs nomee só o rango corporativo

AllowedIPs enumera os destinos que WireGuard encamiña ao túnel. Para aniñar só necesita o enderezo do servidor interior e os prefixos corporativos. Todo o demais queda na rede local, impresoras e hipervisor incluídos. Iso é un túnel dividido por deseño e evita por completo o problema da exclusión.

Unha capa exterior de túnel completo necesita 0.0.0.0/0 menos os rangos locais. O formato non pode expresar unha exclusión, así que o complemento hai que calculalo e pegalo.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Cando o cliente interior non instala as súas propias rutas, enumere vostede os prefixos corporativos. Un prefixo que falte nesa liña é un destino que o túnel exterior nunca transporta. Unha copia desactualizada da lista é peor que ningunha, porque segue parecendo correcta.

Orde, métricas e o segundo adaptador

Conecte primeiro o túnel exterior e logo arranque o cliente corporativo. Así a conexión do seu punto final sae por WireGuard en lugar da pasarela local. Dea á interface corporativa unha métrica máis baixa para que os seus prefixos gañen para os enderezos que posúe.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

As métricas son o paso que a xente salta. Sen unha orde, a ruta instalada en último lugar gaña para o prefixo solapado. Iso cambia entre arranques, e por iso o problema parece intermitente.

Os clientes baseados en OpenVPN 2.6 engaden unha trampa propia. Cando o adaptador de descarga da canle de datos xa está ocupado, unha segunda instancia simplemente négase a arrancar. Engadir disable-dco ao perfil volve á ruta TAP máis antiga, e entón ambos funcionan un xunto ao outro.

Onde se rompe a ruta aniñada

Desconectar o túnel exterior mata o interior. Volver conectar só o cliente interior a miúdo envíao directo a internet e elimina en silencio a aniñación. Probe a secuencia desde cero cada vez, comezando cos dous túneles detidos.

Espere unha MTU útil máis pequena. Cada capa engade sobrecarga, así que un par inicial arredor de 1420 e 1400 é un bo punto de partida. Unha transferencia que se colga con paquetes grandes mentres as peticións pequenas funcionan é o sinal habitual. A política corporativa é o outro límite, porque un cliente que quere un dispositivo xestionado pode considerar unha ruta aniñada unha infracción.

Cando os dous extremos son redes fixas, un túnel de sitio a sitio entre as pasarelas elimina o problema da orde en lugar de xestionalo. Nun só portátil, dous túneles coexisten só cando cada un ten a súa propia interface e unha regra que selecciona destinos por prefixo.

Artigos relacionados