Երկու VPN-ի շղթայում՝ ինչ է թաքցնում և ինչ արժե

Երկու ներդրված թունել ձեզ անանուն չեն դարձնում։ Նրանք դիտարկումները բաժանում են երկու մատակարարների միջև, այնպես որ ոչ մեկը միասին չի տեսնում ձեր տան հասցեն ու ձեր նպատակակետը։ Սա իսկական, բայց նեղ առավելություն է, և դրա հետ գալիս են երթուղավորման, DNS-ի և MTU-ի խնդիրներ, որոնք ի հայտ են գալիս առաջին անգամ, երբ դրա վրա հույս դնեք։

1. Որոշեք, թե ինչի համար է երկրորդ հոպը

Նպատակը գրեք մեկ նախադասությամբ, նախքան ինչ-որ բան կարգավորելը. Եթե նպատակն այն է, որ ձեր ISP-ն չտեսնի, թե որ կայքերն եք այցելում, մեկ թունելը դրան հասնում է։ Եթե նպատակն այն է, որ ոչ մի առանձին մատակարար չկարողանա ձեր հասցեն կապել ձեր տրաֆիկի հետ, ապա դա անում են երկուսը։ Իսկ եթե նպատակն այն է, որ ոչ ոք չկարողանա ձեզ նույնականացնել, ապա ոչ մի հոպերի քանակ այնտեղ չի հասնում։

Շղթան այնքան ուժեղ է, որքան թույլ մատակարարի մատյաններն ու երկուսի վարած հաշվառումը։ Վճարումները, գրանցման էլ. փոստը և հավելվածի հեռաչափությունը լիովին թունելից դուրս են։

2. Ներքին ծայրը հասանելի դարձրեք արտաքին թունելով

Սովորական ձախողումն այն է, որ ներքին թունելը երբեք չի հաստատվում։ Լրիվ թունելով արտաքին միացումը տիրապետում է լռելյայն երթուղին, ուստի ներքին հաճախորդի՝ սեփական ծայրին հասնելու փորձը կլանվում է արտաքին թունելի կողմից և դեն է նետվում կամ հայտնվում օղակում։ Ներքին ծայրին անհրաժեշտ է բացահայտ երթուղի արտաքին ինտերֆեյսով, որը տեղադրվում է ներքին հաճախորդի մեկնարկից առաջ։ Հակառակ դեպքում ձեռքսեղմումը մրցում է երթուղու հետ և պարտվում։

WireGuard-ը նույն հակասությունը ցույց է տալիս մյուս կողմից։ Յուրաքանչյուր peer-ի AllowedIPs որոշում է, թե որ նպատակակետերն են մտնում այդ թունել, ուստի բոլոր հասցեները պահանջող ներքին ինտերֆեյսը պահանջում է նաև արտաքին ծայրը, եթե ավելի կոնկրետ երթուղին չհաղթի։ Երկու ինտերֆեյսների վրա AllowedIPs համընկնումը կարգավորում է, որտեղ մի կողմը լուռ պարտվում է։

Կոնտեյներների շղթայումը տարանջատումը դարձնում է բացահայտ, իսկ թակարդը՝ ակնհայտ։ Սեփական անվանատարածքով, սեփական լռելյայն երթուղով և ներսում հաճախորդով կոնտեյները փոխանցում է այն, ինչ հոսթը ուղարկում է իրեն. հոսթն ինքը չի սկսում օգտագործել այդ ուղին։ Միացրեք փոխանցումը, ավելացրեք երթուղի կոնտեյների թունելի համար և ծառայությունը ուղղեք կոնտեյների հասցեին։

3. DNS-ը պահեք նույն ուղու վրա

DNS-ը պետք է ճամփորդի այնտեղ, որտեղ ճամփորդում է տրաֆիկը։ Եթե ներքին մատակարարը լուծիչներ է տրամադրում, իսկ հոսթը դեռ հարցնում է տեղականներին, այդ հարցումները բացահայտում են հենց այն կայքերը, որոնք թունելը պետք է թաքցներ։ Ստուգեք յուրաքանչյուր թունելային ինտերֆեյսի վրա զավթմամբ, փոխանակ վստահելու հաճախորդի կարգավիճակի վահանակին։ Այստեղ արտահոսքը անտեսանելի է սովորական դիտարկման ընթացքում և ակնհայտ՝ զավթման մեջ։

Բաժանված DNS-ի լուծումները դա դժվարացնում են, որովհետև տեղական անվան հարցումը կարող է օրինականորեն պատկանել թունելից դուրս։ Բացառությունների ցանկը գրեք դիտավորյալ, փոխանակ այն բացահայտելու ըստ այն բանի, թե որ լուծիչը պատահաբար պատասխանեց։

4. Սահմանեք MTU-ն, նախքան օգտատերերը դա ձեր փոխարեն կբացահայտեն

MTU-ն մյուս կանխատեսելի զոհն է։ Երկու ինկապսուլյացիա հանում է երկու վերնագիր, և արտաքին թունելը, որն արդեն իջեցրել է ուղու MTU-ն, ներսում ավելի քիչ տեղ է թողնում։ Ախտանիշները ծանոթ են. փոքր հարցումները անցնում են, մեծ փոխանցումներն ու TLS ձեռքսեղմումները կանգ են առնում։

ip link set dev wg1 mtu 1280 կոպիտ լուծումն է, իսկ MSS-ի սահմանափակումը փոխանցողի վրա՝ ավելի կոկիկը։ Միացումը նորից փորձելը բոլորովին լուծում չէ։

5. Փորձարկեք այն ձախողումը, որն իրականում կստանաք

Դիտավորյալ կտրեք արտաքին թունելը և տեսեք, թե ինչ է լինում։ Շղթան, որ լուռ ընկնում է ուղիղ ուղու վրա, երբ արտաքին հոպը մահանում է, ավելի վատ է, քան շղթայի բացակայությունը, որովհետև այն արտահոսում է հենց այն պահին, երբ դուք կարծում էիք, թե ծածկված եք։ Նպատակային վարքագիծը kill switch-ն է, որը կանգնեցնում է ամբողջ տրաֆիկը։ Գրանցեք արդյունքը, որովհետև չեք ցանկանա այն նորից բացահայտել միջադեպի կեսին։

Ուշացումը և ձախողման երկրորդ կետը մշտական ծախսերն են։ Երկու հոպ նաև նշանակում են աջակցության երկու հերթ, երբ ինչ-որ բան փչանում է անհարմար ժամին։