שרשור שני VPN: מה זה מסתיר ומה זה עולה

שתי מנהרות מקוננות לא הופכות אתכם לאנונימיים. הן מחלקות את התצפיות בין שני ספקים, כך שאף אחד מהם לא רואה יחד את כתובת הבית שלכם ואת היעד שלכם. זה יתרון אמיתי אך צר, והוא מגיע עם בעיות ניתוב, DNS ו-MTU שמופיעות בפעם הראשונה שאתם מסתמכים עליו.

1. החליטו למה משמשת הקפיצה השנייה

כתבו את המטרה במשפט אחד לפני שאתם מגדירים משהו. אם המטרה היא שספק האינטרנט שלכם לא יראה אילו אתרים אתם מבקרים, מנהרה אחת משיגה זאת. אם המטרה היא שאף ספק בודד לא יוכל לקשר את הכתובת שלכם לתעבורה שלכם, שתיים עושות זאת. אם המטרה היא שאיש לא יוכל לזהות אתכם, שום מספר קפיצות לא מגיע לשם.

השרשרת חזקה רק כמו היומנים של הספק החלש יותר ורשומות החשבון ששניהם שומרים. תשלומים, דוא״ל הרשמה וטלמטריית האפליקציה נמצאים מחוץ למנהרה לחלוטין.

2. הפכו את הקצה הפנימי לזמין דרך המנהרה החיצונית

הכשל הרגיל הוא שהמנהרה הפנימית לא נוצרת לעולם. חיבור חיצוני במנהרה מלאה מחזיק בנתיב ברירת המחדל, ולכן הניסיון של הלקוח הפנימי להגיע לקצה שלו נבלע במנהרה החיצונית ומושלך או נכנס ללולאה. הקצה הפנימי זקוק לנתיב מפורש דרך הממשק החיצוני, מותקן לפני שהלקוח הפנימי מתחיל. אחרת לחיצת היד מתחרה בנתיב ומפסידה.

WireGuard מציג את אותו עימות מהכיוון השני. שדה AllowedIPs של כל עמית קובע אילו יעדים נכנסים למנהרה הזו, ולכן ממשק פנימי שתובע כל כתובת תובע גם את הקצה החיצוני, אלא אם כן נתיב ספציפי יותר מנצח. חפיפה של AllowedIPs בין שני ממשקים היא הגדרה שבה צד אחד מפסיד בשקט.

שרשור מכולות הופך את ההפרדה למפורשת ואת המלכודת לברורה. מכולה עם מרחב שמות משלה, נתיב ברירת מחדל משלה ולקוח בתוכה מעבירה הלאה את מה שהמארח שולח אליה; המארח עצמו לא מתחיל להשתמש בנתיב הזה. הפעילו העברה, הוסיפו נתיב למנהרה של המכולה והפנו את השירות לכתובת המכולה.

3. שמרו את DNS על אותו נתיב

DNS חייב לנסוע לאן שהתעבורה נוסעת. אם הספק הפנימי דוחף פותרים והמארח עדיין שואל את המקומיים, אותן שאילתות חושפות בדיוק את האתרים שהמנהרה נועדה להסתיר. בדקו בלכידה בכל ממשק מנהרה במקום לסמוך על חלונית המצב של הלקוח. דליפה כאן בלתי נראית בגלישה רגילה וברורה בלכידה.

עיצובי DNS מפוצל מקשים על זה, כי שאילתה לשם מקומי יכולה באופן לגיטימי להשתייך מחוץ למנהרה. כתבו את רשימת החריגים בכוונה תחילה במקום לגלות אותה לפי הפותר שבמקרה ענה.

4. הגדירו MTU לפני שהמשתמשים יגלו זאת במקומכם

MTU הוא הקרבן הצפוי השני. שתי עטיפות מחסירות שני כותרות, ומנהרה חיצונית שכבר הורידה את MTU הנתיב משאירה פחות מקום בפנים. התסמינים מוכרים: בקשות קטנות מצליחות, העברות גדולות ולחיצות יד TLS נתקעות.

ip link set dev wg1 mtu 1280 הוא התיקון הגס, והגבלת MSS במוסר היא המסודר יותר. ניסיון חוזר של החיבור אינו תיקון כלל.

5. בדקו את הכשל שבאמת תקבלו

שברו את המנהרה החיצונית בכוונה וראו מה קורה. שרשרת שנופלת בשקט לנתיב ישיר כשהקפיצה החיצונית מתה גרועה מאין שרשרת, כי היא דולפת בדיוק ברגע שבו האמנתם שאתם מכוסים. ההתנהגות הרצויה היא מתג הרג שמפסיק את כל התעבורה. תעדו את התוצאה, כי לא תרצו לגלות אותה מחדש באמצע תקרית.

השהיה ונקודת כשל שנייה הם העלות הקבועה. שתי קפיצות גם אומרות שני תורים לתמיכה כשמשהו נשבר בשעה לא נוחה.