दो VPN को जंज़ीर में जोड़ना: यह क्या छिपाता है और क्या कीमत लेता है

दो स्तरित सुरंगें आपको अनाम नहीं बनातीं। वे निरीक्षणों को दो प्रदाताओं के बीच बाँट देती हैं, इसलिए कोई भी आपका घर का पता और आपकी मंज़िल एक साथ नहीं देखता। यह असली पर सँकरा लाभ है, और इसके साथ रूटिंग, DNS और MTU की समस्याएँ आती हैं जो पहली बार तब दिखती हैं जब आप इस पर निर्भर होते हैं।

1. तय करें कि दूसरी छलांग किसलिए है

कुछ भी कॉन्फ़िगर करने से पहले लक्ष्य एक वाक्य में लिखें. अगर लक्ष्य यह है कि आपका ISP न देख सके कि आप कौन-सी साइटें देखते हैं, तो एक सुरंग यह कर देती है। अगर लक्ष्य यह है कि कोई भी अकेला प्रदाता आपके पते को आपके ट्रैफ़िक से न जोड़ सके, तो दो कर देती हैं। अगर लक्ष्य यह है कि कोई आपकी पहचान न कर सके, तो छलाँगों की कोई भी संख्या वहाँ नहीं पहुँचती।

जंज़ीर उतनी ही मज़बूत है जितने कमज़ोर प्रदाता के लॉग और दोनों के रखे खाता रिकॉर्ड। भुगतान, साइनअप ईमेल और ऐप टेलीमेट्री सुरंग से पूरी तरह बाहर रहते हैं।

2. भीतरी सिरे को बाहरी सुरंग से पहुँचने योग्य बनाएँ

आम विफलता यह है कि भीतरी सुरंग कभी बनती ही नहीं। पूरी सुरंग वाला बाहरी कनेक्शन डिफ़ॉल्ट रूट का मालिक होता है, इसलिए भीतरी क्लाइंट का अपने ही सिरे तक पहुँचने का प्रयास बाहरी सुरंग निगल जाती है और उसे गिरा देती है या लूप में डाल देती है। भीतरी सिरे को बाहरी इंटरफ़ेस से एक स्पष्ट रूट चाहिए, जो भीतरी क्लाइंट शुरू होने से पहले लगाया जाए। वरना हैंडशेक रूट से दौड़ लगाता है और हार जाता है।

WireGuard वही टकराव दूसरी दिशा से दिखाता है। हर पीयर का AllowedIPs तय करता है कि कौन-सी मंज़िलें उस सुरंग में प्रवेश करती हैं, इसलिए हर पते का दावा करने वाला भीतरी इंटरफ़ेस बाहरी सिरे का भी दावा करता है, जब तक कि कोई अधिक विशिष्ट रूट न जीते। दो इंटरफ़ेस पर AllowedIPs का ओवरलैप ऐसा कॉन्फ़िगरेशन है जिसमें एक पक्ष चुपचाप हार जाता है।

कंटेनर जंज़ीर जुदाई को स्पष्ट और जाल को ज़ाहिर करती है। अपने नेमस्पेस, अपने डिफ़ॉल्ट रूट और अंदर क्लाइंट वाला कंटेनर होस्ट के भेजे को आगे भेजता है; होस्ट खुद उस रास्ते का उपयोग करना शुरू नहीं करता। फ़ॉरवर्डिंग चालू करें, कंटेनर की सुरंग के लिए रूट जोड़ें और सेवा को कंटेनर के पते पर इंगित करें।

3. DNS को उसी रास्ते पर रखें

DNS को वहीं जाना है जहाँ ट्रैफ़िक जाता है। अगर भीतरी प्रदाता रिज़ॉल्वर धकेलता है और होस्ट अब भी स्थानीय लोगों से पूछता है, तो वे लुकअप ठीक उन साइटों को उजागर करते हैं जिन्हें सुरंग को छिपाना था। क्लाइंट के स्टेटस पैनल पर भरोसा करने के बजाय हर सुरंग इंटरफ़ेस पर कैप्चर से जाँचें। यहाँ लीक सामान्य ब्राउज़िंग में अदृश्य और कैप्चर में साफ़ दिखता है।

विभाजित DNS डिज़ाइन इसे मुश्किल बनाते हैं, क्योंकि स्थानीय नाम की क्वेरी वैध रूप से सुरंग के बाहर की हो सकती है। अपवादों की सूची जानबूझकर लिखें, इस बात से न खोजें कि किस रिज़ॉल्वर ने संयोग से जवाब दिया।

4. उपयोगकर्ताओं के आपके बजाय जानने से पहले MTU सेट करें

MTU दूसरा अनुमानित शिकार है। दो एनकैप्सुलेशन दो हेडर घटाते हैं, और जो बाहरी सुरंग पहले ही पथ का MTU नीचे कर चुकी है वह अंदर कम जगह छोड़ती है। लक्षण जाने-पहचाने हैं: छोटी रिक्वेस्ट सफल होती हैं, बड़े ट्रांसफ़र और TLS हैंडशेक अटक जाते हैं।

ip link set dev wg1 mtu 1280 यह भद्दा उपाय है, और फ़ॉरवर्डर पर MSS सीमित करना ज़्यादा साफ़ है। कनेक्शन फिर से आज़माना कोई उपाय नहीं है।

5. उसी विफलता का परीक्षण करें जो वास्तव में मिलेगी

बाहरी सुरंग को जानबूझकर तोड़ें और देखें क्या होता है। जो जंज़ीर बाहरी छलांग मरने पर चुपचाप सीधे रास्ते पर गिर जाती है वह जंज़ीर न होने से भी बुरी है, क्योंकि वह ठीक उसी पल लीक करती है जब आपको लगा था कि आप ढके हुए हैं। लक्ष्य व्यवहार वह किल स्विच है जो सारा ट्रैफ़िक रोक दे। नतीजा दर्ज करें, क्योंकि किसी घटना के बीच में आप इसे फिर से खोजना नहीं चाहेंगे।

लेटेंसी और दूसरा विफलता बिंदु स्थायी लागत हैं। दो छलाँगों का मतलब यह भी है कि जब कुछ असुविधाजनक घड़ी में टूटे तो दो सहायता कतारें।