ორი VPN-ის ჯაჭვად დაკავშირება: რას მალავს და რა ღირს

ორი ჩადგმული გვირაბი ანონიმურობას არ გაძლევთ. ისინი დაკვირვებებს ორ პროვაიდერს შორის ანაწილებენ, ასე რომ არც ერთი მათგანი ერთდროულად ვერ ხედავს თქვენს სახლის მისამართსა და დანიშნულებას. ეს ნამდვილი, თუმცა ვიწრო უპირატესობაა და მასთან ერთად მოდის მარშრუტიზაციის, DNS-ისა და MTU-ის პრობლემები, რომლებიც პირველად მაშინ ჩნდება, როცა ამაზე დაეყრდნობით.

1. გადაწყვიტეთ, რისთვის არის მეორე ნახტომი

დაწერეთ მიზანი ერთ წინადადებაში, სანამ რამეს დააყენებთ. თუ მიზანია, რომ თქვენმა ISP-მ ვერ დაინახოს, რომელ საიტებს სტუმრობთ, ერთი გვირაბი ამას ახერხებს. თუ მიზანია, რომ არცერთმა ცალკეულმა პროვაიდერმა ვერ შეძლოს თქვენი მისამართის თქვენს ტრაფიკთან დაკავშირება, ამას ორი აკეთებს. თუ მიზანია, რომ ვერავინ ვერ შეძლოს თქვენი იდენტიფიცირება, იქ ვერც ერთი რაოდენობის ნახტომი მიაღწევს.

ჯაჭვი ისეთივე ძლიერია, როგორც უფრო სუსტი პროვაიდერის ჟურნალები და ორივეს მიერ შენახული ანგარიშის ჩანაწერები. გადახდები, რეგისტრაციის ელფოსტა და აპლიკაციის ტელემეტრია გვირაბისგან სრულიად გარეთ არის.

2. გახადეთ შიდა ბოლო მისაწვდომი გარე გვირაბით

ჩვეულებრივი მარცხია, რომ შიდა გვირაბი არასოდეს არ დგინდება. სრული გვირაბის მქონე გარე კავშირი ფლობს ნაგულისხმევ მარშრუტს, ამიტომ შიდა კლიენტის მცდელობა საკუთარ ბოლომდე მისვლისა გარე გვირაბმა შთანთქას და ჩამოაგდოს ან მარყუჟში მოაქციოს. შიდა ბოლოს სჭირდება გარე ინტერფეისით გამავალი მკაფიო მარშრუტი, რომელიც შიდა კლიენტის გაშვებამდე უნდა დამონტაჟდეს. წინააღმდეგ შემთხვევაში ხელის ჩამორთმევა მარშრუტს ეჯიბრება და აგებს.

WireGuard იმავე კონფლიქტს მეორე მხრიდან აჩვენებს. თითოეული peer-ის AllowedIPs განსაზღვრავს, რომელი დანიშნულებები შედის ამ გვირაბში, ამიტომ შიდა ინტერფეისი, რომელიც ყველა მისამართს ითხოვს, გარე ბოლოსაც ითხოვს, თუ უფრო კონკრეტულმა მარშრუტმა არ მოიგო. ორ ინტერფეისზე AllowedIPs გადაფარვა ის კონფიგურაციაა, სადაც ერთი მხარე ჩუმად აგებს.

კონტეინერების ჯაჭვი განცალკევებას მკაფიოს და ხაფანგს აშკარას ხდის. კონტეინერი საკუთარი სახელების სივრცით, საკუთარი ნაგულისხმევი მარშრუტით და შიგნით კლიენტით გადასცემს იმას, რასაც ჰოსტი მას უგზავნის; ჰოსტი თავად არ იწყებს ამ გზის გამოყენებას. ჩართეთ გადამისამართება, დაამატეთ მარშრუტი კონტეინერის გვირაბისთვის და სერვისი მიმართეთ კონტეინერის მისამართზე.

3. შეინახეთ DNS იმავე გზაზე

DNS-მა უნდა იმოძრაოს იქ, სადაც ტრაფიკი მოძრაობს. თუ შიდა პროვაიდერი რეზოლვერებს გვთავაზობს და ჰოსტი კვლავ ლოკალურებს ეკითხება, ეს მოთხოვნები ზუსტად იმ საიტებს ამჟღავნებს, რომლებიც გვირაბს უნდა დაემალა. შეამოწმეთ ყოველ გვირაბის ინტერფეისზე ჩაჭერით, ნაცვლად კლიენტის სტატუსის პანელის ნდობისა. აქ გაჟონვა ჩვეულებრივი დათვალიერებისას უხილავია და ჩაჭერაში აშკარა.

გაყოფილი DNS-ის დიზაინები ამას ართულებენ, რადგან ლოკალური სახელის მოთხოვნა ლეგიტიმურად შეიძლება გვირაბის გარეთ მიეკუთვნოს. გამონაკლისების სია განზრახ დაწერეთ, ნაცვლად იმისა, რომ იმის მიხედვით აღმოაჩინოთ, რომელმა რეზოლვერმა შემთხვევით უპასუხა.

4. დააყენეთ MTU სანამ მომხმარებლები თქვენს ნაცვლად აღმოაჩენენ

MTU შემდეგი მოსალოდნელი მსხვერპლია. ორი ინკაფსულაცია ორ სათაურს აკლებს, ხოლო გარე გვირაბი, რომელმაც უკვე დაწია გზის MTU, შიგნით ნაკლებ ადგილს ტოვებს. სიმპტომები ნაცნობია: პატარა მოთხოვნები გადის, დიდი გადაცემები და TLS ხელის ჩამორთმევები ჩერდება.

ip link set dev wg1 mtu 1280 უხეში შესწორებაა, ხოლო MSS-ის შეზღუდვა გადამცემზე უფრო სუფთაა. კავშირის ხელახლა ცდა საერთოდ არ არის შესწორება.

5. გამოსცადეთ ის მარცხი, რომელსაც რეალურად მიიღებთ

განზრახ გაწყვიტეთ გარე გვირაბი და ნახეთ რა მოხდება. ჯაჭვი, რომელიც გარე ნახტომის სიკვდილისას ჩუმად ვარდება პირდაპირ გზაზე, უარესია ვიდრე ჯაჭვის არარსებობა, რადგან გაჟონავს ზუსტად იმ წამს, როცა ფიქრობდით, რომ დაფარული ხართ. სამიზნე ქცევაა kill switch, რომელიც მთელ ტრაფიკს აჩერებს. ჩაწერეთ შედეგი, რადგან არ მოგინდებათ მისი ხელახლა აღმოჩენა ინციდენტის შუაში.

ლატენტობა და მეორე მარცხის წერტილი მუდმივი ხარჯია. ორი ნახტომი ასევე ნიშნავს მხარდაჭერის ორ რიგს, როცა რამე არასასიამოვნო საათში გატყდება.