Vállalati VPN WireGuardon belül: melyik réteg jön előbb?

Két kliens egy gépen csak akkor működik, ha a külső alagút hordozza a belső kliens saját kapcsolatát, és a metrikák minden előtaghoz a megfelelő interfészt választják.

Két jogos ok van arra, hogy fejlesztői laptopon egymásba ágyazzunk alagutakat. Vagy a vállalati kliensnek úgy kell látszania, mintha egy adott országból jönne, vagy két magánhálózatnak kell egyszerre elérhetőnek lennie. Mindkét esetben a külső alagútnak kell hordoznia a belső kliens saját kapcsolatát.

Két kliens valamilyen sorrendben való indítása nem ezt adja. Az útválasztás adja ezt.

Hasonlítsa össze a két lehetséges sorrendet

Válassza külső rétegnek azt az alagutat, amelynek végpontja a nyilvános internetről elérhető. A belső réteg az az alagút, amelynek kiszolgálója csak ezen a kijáraton keresztül válaszol. Windows alatt a gyakorlati felosztás: WireGuard kívül, a vállalati kliens belül. A döntő tényező az irányítás.

A hivatalos WireGuard kliens teljes konfigurációs fájlt alkalmaz, útvonalakkal és DNS-sel együtt. A kereskedelmi vállalati kliensek általában mindkettőt elrejtik. Ha egy rejtett klienst teszünk kívülre, találgathatunk az alatta futó útvonalról.

A fordított sorrend nem lehetetlen. Csak nehezebb végiggondolni, mert a külső kliens olyan ütemezés szerint írja át az útvonalakat, amelyet soha nem látunk.

Hagyja, hogy az AllowedIPs csak a vállalati tartományt nevezze meg

AllowedIPs sorolja fel azokat a célokat, amelyeket a WireGuard az alagútba irányít. Az egymásba ágyazáshoz csak a belső kiszolgáló címére és a vállalati előtagokra van szüksége. Minden más a helyi hálózaton marad, a nyomtatókkal és a hipervizorral együtt. Ez tervezés szerint osztott alagút, és teljesen elkerüli a kizárás problémáját.

A teljes alagutat használó külső rétegnek szüksége van 0.0.0.0/0 mínusz a helyi tartományok. A formátum nem tud kizárást kifejezni, ezért a kiegészítést ki kell számítani és be kell illeszteni.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Amikor a belső kliens nem telepít saját útvonalakat, sorolja fel Ön a vállalati előtagokat. Az abból a sorból kimaradó előtag olyan cél, amelyet a külső alagút soha nem hordoz. Az elavult másolat a listáról rosszabb a semminél, mert még mindig helyesnek látszik.

Sorrend, metrikák és a második adapter

Először csatlakoztassa a külső alagutat, majd indítsa el a vállalati klienst. Ekkor a végpontkapcsolata a WireGuardon keresztül lép ki a helyi átjáró helyett. Adjon a vállalati interfésznek alacsonyabb metrikát, hogy az előtagjai nyerjenek a birtokában lévő címeknél.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

A metrikák az a lépés, amelyet az emberek kihagynak. Sorrend nélkül az átfedő előtag esetében az utoljára telepített útvonal nyer. Ez újraindítások között változik, ezért tűnik a probléma időszakosnak.

Az OpenVPN 2.6-ra épülő kliensek saját csapdát adnak hozzá. Ha az adatcsatorna tehermentesítő adaptere már foglalt, egy második példány egyszerűen nem indul el. A profilhoz adva a disable-dco a régebbi TAP-útvonalra esik vissza, és akkor mindkettő egymás mellett fut.

Hol törik meg az egymásba ágyazott útvonal

A külső alagút bontása megöli a belsőt. Ha csak a belső klienst kapcsoljuk vissza, az gyakran egyenesen az internetre megy, és csendesen megszünteti az egymásba ágyazást. Minden alkalommal tesztelje a sorrendet nulláról, mindkét alagutat leállítva.

Számítson kisebb hasznos MTU-ra. Minden réteg többletet ad, ezért egy 1420 és 1400 körüli kezdő pár jó kiindulópont. Az a forgalom, amely a nagy csomagoknál elakad, miközben a kis kérések átmennek, a szokásos jel. A vállalati szabályzat a másik korlát, mert egy felügyelt eszközt igénylő kliens szabálysértésnek tekintheti az egymásba ágyazott útvonalat.

Ha mindkét vég fix hálózat, az átjárók közötti telephely-t-telephely alagút megszünteti a sorrendproblémát ahelyett, hogy kezelné. Egy laptopon két alagút csak akkor létezik egymás mellett, ha mindegyiknek saját interfésze és előtagonkénti célkiválasztó szabálya van.

Kapcsolódó cikkek