Korporativni VPN unutar WireGuarda: koji sloj ide prvi?

Dva su legitimna razloga za ugnježđivanje tunela na razvojnom prijenosniku. Ili korporativni klijent mora izgledati kao da dolazi iz određene zemlje, ili dvije privatne mreže moraju biti dostupne istodobno. U oba slučaja vanjski tunel mora nositi vlastitu vezu unutarnjeg klijenta.

Pokretanje dvaju klijenata u bilo kojem redoslijedu to ne postiže. To postiže usmjeravanje.

Usporedite dva moguća redoslijeda

Odaberite vanjski sloj kao tunel do čije krajnje točke javni internet može doći. Unutarnji sloj je tunel čiji poslužitelj odgovara samo kroz taj izlaz. Na Windowsu je praktična podjela WireGuard izvana i korporativni klijent iznutra. Odlučujući je čimbenik kontrola.

Službeni WireGuard klijent primjenjuje cjelovitu konfiguracijsku datoteku, uključujući rute i DNS. Komercijalni korporativni klijenti obično skrivaju oboje. Postavljanje skrivenog klijenta izvana ostavlja vas da nagađate o putu ispod njega.

Obrnuti redoslijed nije nemoguć. Samo je teže o njemu razmišljati, jer vanjski klijent prepisuje rute po rasporedu koji nikad ne vidite.

Neka AllowedIPs imenuje samo korporativni raspon

AllowedIPs navodi odredišta koja WireGuard usmjerava u tunel. Za ugnježđivanje su mu potrebni samo adresa unutarnjeg poslužitelja i korporativni prefiksi. Sve ostalo ostaje na lokalnoj mreži, uključujući pisače i hipervizor. To je podijeljeni tunel po dizajnu i posve izbjegava problem isključenja.

Vanjskom sloju s punim tunelom potreban je 0.0.0.0/0 minus lokalni rasponi. Format ne može izraziti isključenje, pa se komplement mora izračunati i zalijepiti.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Kad unutarnji klijent ne instalira vlastite rute, sami navedite korporativne prefikse. Prefiks izostavljen s tog retka odredište je koje vanjski tunel nikad ne nosi. Zastarjela kopija popisa gora je od nikakve, jer još uvijek izgleda ispravno.

Redoslijed, metrike i drugi adapter

Prvo povežite vanjski tunel, zatim pokrenite korporativni klijent. Njegova veza s krajnjom točkom tada izlazi kroz WireGuard umjesto kroz lokalni pristupnik. Dajte korporativnom sučelju nižu metriku kako bi njegovi prefiksi pobijedili za adrese koje posjeduje.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

Metrike su korak koji ljudi preskaču. Bez poretka, za preklapajući prefiks pobjeđuje ruta koja je instalirana posljednja. To se mijenja između podizanja sustava, zato problem izgleda isprekidano.

Klijenti zasnovani na OpenVPN 2.6 dodaju vlastitu zamku. Kad je adapter za rasterećenje podatkovnog kanala već zauzet, druga instanca jednostavno odbija se pokrenuti. Dodavanje disable-dco u profil vraća na stariju TAP putanju i tada oba rade jedan uz drugi.

Gdje se ugniježđena putanja lomi

Prekidanje vanjskog tunela ubija unutarnji. Ponovno povezivanje samo unutarnjeg klijenta često ga šalje ravno na internet i tiho uklanja ugnježđivanje. Testirajte slijed od nule svaki put, počevši s oba tunela zaustavljena.

Očekujte manji iskoristivi MTU. Svaki sloj dodaje troškove, pa je početni par oko 1420 i 1400 mjesto od kojeg se može početi. Prijenos koji se zaglavi na velikim paketima dok mali zahtjevi uspijevaju uobičajen je znak. Korporativna politika druga je granica, jer klijent koji traži upravljani uređaj može ugniježđenu putanju smatrati kršenjem.

Kad su oba kraja fiksne mreže, tunel od lokacije do lokacije između pristupnika uklanja problem redoslijeda umjesto da njime upravlja. Na jednom prijenosniku dva tunela koegzistiraju samo kad svaki ima vlastito sučelje i pravilo koje bira odredišta po prefiksu.