Fyrirtækja-VPN inni í WireGuard: hvaða lag kemur fyrst?

Það eru tvær gildar ástæður fyrir því að hreiðra göng í þróunartölvu. Annaðhvort þarf fyrirtækjabiðlarinn að líta út eins og hann komi frá ákveðnu landi, eða tvö einkanet verða að vera aðgengileg á sama tíma. Bæði tilvikin krefjast þess að ytri göngin beri eigin tengingu innri biðlarans.

Að ræsa tvo biðlara í hvaða röð sem er gefur það ekki. Það er leiðsögnin sem gerir það.

Berðu saman hinar tvær mögulegu raðir

Veldu ytra lagið sem göngin þar sem endapunkturinn er aðgengilegur frá opinberu internetinu. Innra lagið eru göngin þar sem þjónninn svarar aðeins í gegnum þá útleið. Í Windows er hagnýta skiptingin WireGuard úti og fyrirtækjabiðlarinn inni. Ákvörðunarþátturinn er stjórn.

Opinberi WireGuard-biðlarinn beitir fullri stillingarskrá, þar með taldar leiðir og DNS. Viðskiptalegir fyrirtækjabiðlarar fela venjulega hvort tveggja. Að setja faldan biðlara úti lætur þig giska á leiðina fyrir neðan.

Öfug röð er ekki ómöguleg. Hún er bara erfiðari í rökleiðslu, því ytri biðlarinn endurskrifar leiðir samkvæmt áætlun sem þú sérð aldrei.

Leyfðu AllowedIPs að nefna aðeins fyrirtækjasviðið

AllowedIPs telur upp áfangastaðina sem WireGuard beinir inn í göngin. Fyrir hreiðrun þarf það aðeins vistfang innri þjónsins og forskeyti fyrirtækisins. Allt annað heldur sig á staðarnetinu, þar með taldar prentarar og hypervisor. Þetta eru klofin göng að hönnun og forðast útilokunarvandamálið algjörlega.

Ytra lag með fullum göngum þarf 0.0.0.0/0 að frádregnum staðarsviðunum. Sniðið getur ekki tjáð útilokun, svo uppfyllinguna verður að reikna og líma inn.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Þegar innri biðlarinn setur ekki upp eigin leiðir skaltu telja upp forskeyti fyrirtækisins sjálfur. Forskeyti sem sleppt er á þeirri línu er áfangastaður sem ytri göngin bera aldrei. Úrelt eintak af listanum er verra en ekkert, því það lítur enn út fyrir að vera rétt.

Röð, mælingar og seinni millistykkið

Tengdu ytri göngin fyrst og ræstu svo fyrirtækjabiðlarann. Þá fer endapunktstenging hans út í gegnum WireGuard í stað staðbundnu gáttarinnar. Gefðu fyrirtækjatenginu lægri mælingu svo forskeyti þess vinni fyrir vistföngin sem það á.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

Mælingar eru skrefið sem fólk sleppir. Án raðar vinnur leiðin sem var sett upp síðast fyrir skarast forskeytið. Það breytist milli ræsinga, og þess vegna virðist vandamálið koma og fara.

Biðlarar byggðir á OpenVPN 2.6 bæta við eigin gildru. Þegar millistykkjum fyrir affermingu gagnaleyfisins er þegar upptekið neitar annað eintak einfaldlega að ræsa. Að bæta disable-dco við sniðið fellur aftur á eldri TAP-leiðina, og þá keyra bæði hlið við hlið.

Hvar hreiðruð leið brotnar

Að aftengja ytri göngin drepur þau innri. Að tengja aðeins innri biðlarann aftur sendir hann oft beint út á internetið og fjarlægir hreiðrunina hljóðlega. Prófaðu röðina frá grunni í hvert sinn, með bæði göngin stöðvuð.

Búðu þig við minni nothæfri MTU. Hvert lag bætir við yfirhöfuð, svo upphafspar um 1420 og 1400 er staður til að byrja á. Flutningur sem stöðvast á stórum pakkum á meðan litlar beiðnir ganga er venjulega merkið. Fyrirtækjastefna er hin takmörkin, því biðlari sem krefst stýrðs tækis getur litið á hreiðraða leið sem brot.

Þegar báðir endar eru föst net fjarlægir síðu-í-síðu göng milli gáttanna röðunarvandamálið í stað þess að stýra því. Á einni fartölvu geta tvö göng aðeins verið saman þegar hvort hefur sitt eigið tengi og reglu sem velur áfangastaði eftir forskeyti.