კორპორატიული VPN WireGuard-ის შიგნით: რომელი ფენა მოდის პირველი?

დეველოპერის ლეპტოპზე გვირაბების ერთმანეთში ჩადგმის ორი სამართლიანი მიზეზი არსებობს. ან კორპორატიული კლიენტი ისე უნდა გამოიყურებოდეს, თითქოს კონკრეტული ქვეყნიდან მოდის, ან ორი კერძო ქსელი ერთდროულად უნდა იყოს ხელმისაწვდომი. ორივე შემთხვევაში გარე გვირაბმა უნდა ატაროს შიდა კლიენტის საკუთარი კავშირი.

ორი კლიენტის ნებისმიერი თანმიმდევრობით გაშვება ამას არ იძლევა. ამას მარშრუტიზაცია იძლევა.

შეადარეთ ორი შესაძლო თანმიმდევრობა

გარე ფენად აირჩიეთ ის გვირაბი, რომლის ბოლო წერტილი საჯარო ინტერნეტიდან ხელმისაწვდომია. შიდა ფენა არის გვირაბი, რომლის სერვერი პასუხობს მხოლოდ ამ გასასვლელით. Windows-ზე პრაქტიკული გაყოფა ასეთია: WireGuard გარეთ და კორპორატიული კლიენტი შიგნით. განმსაზღვრელი ფაქტორი კონტროლია.

WireGuard-ის ოფიციალური კლიენტი იყენებს სრულ კონფიგურაციის ფაილს, მარშრუტებისა და DNS-ის ჩათვლით. კომერციული კორპორატიული კლიენტები, როგორც წესი, ორივეს მალავს. ფარული კლიენტის გარეთ განთავსება გტოვებთ, გამოიცნოთ მის ქვეშ არსებული გზა.

საპირისპირო თანმიმდევრობა შეუძლებელი არ არის. უბრალოდ უფრო რთულია მასზე ფიქრი, რადგან გარე კლიენტი მარშრუტებს გადაწერს განრიგით, რომელსაც არასდროს ხედავთ.

დაე, AllowedIPs-მა მხოლოდ კორპორატიული დიაპაზონი დაასახელოს

AllowedIPs ჩამოთვლის იმ დანიშნულებებს, რომლებსაც WireGuard გვირაბში მიმართავს. ჩადგმისთვის მას მხოლოდ შიდა სერვერის მისამართი და კორპორატიული პრეფიქსები სჭირდება. დანარჩენი ყველაფერი ლოკალურ ქსელში რჩება, პრინტერებისა და ჰიპერვიზორის ჩათვლით. ეს დიზაინითვე გაყოფილი გვირაბია და მთლიანად გვერდს უვლის გამორიცხვის პრობლემას.

სრული გვირაბის მქონე გარე ფენას სჭირდება 0.0.0.0/0 მინუს ლოკალური დიაპაზონები. ფორმატი ვერ გამოხატავს გამორიცხვას, ამიტომ დანამატი უნდა გამოითვალოს და ჩაისვას.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

როცა შიდა კლიენტი საკუთარ მარშრუტებს არ აყენებს, თავად ჩამოთვალეთ კორპორატიული პრეფიქსები. ამ სტრიქონიდან გამოტოვებული პრეფიქსი ის დანიშნულებაა, რომელსაც გარე გვირაბი არასდროს ატარებს. სიის მოძველებული ასლი არარსებობაზე უარესია, რადგან ჯერ კიდევ სწორად გამოიყურება.

თანმიმდევრობა, მეტრიკები და მეორე ადაპტერი

ჯერ დაუკავშირდით გარე გვირაბს, შემდეგ გაუშვით კორპორატიული კლიენტი. მაშინ მისი ბოლო წერტილის კავშირი გამოდის WireGuard-ით და არა ლოკალური კარიბჭით. მიეცით კორპორატიულ ინტერფეისს უფრო დაბალი მეტრიკა, რათა მისი პრეფიქსები მოიგოს მის საკუთრებაში არსებულ მისამართებზე.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

მეტრიკები ის ნაბიჯია, რომელსაც ადამიანები გამოტოვებენ. თანმიმდევრობის გარეშე გადაფარებული პრეფიქსისთვის იმარჯვებს ბოლოს დაყენებული მარშრუტი. ეს იცვლება ჩართვებს შორის, ამიტომ პრობლემა წყვეტილი ჩანს.

OpenVPN 2.6-ზე აწყობილი კლიენტები საკუთარ ხაფანგს ამატებენ. როცა მონაცემთა არხის განტვირთვის ადაპტერი უკვე დაკავებულია, მეორე ეგზემპლარი უბრალოდ უარს ამბობს გაშვებაზე. პროფილში disable-dco დამატება უბრუნდება ძველ TAP გზას და მაშინ ორივე გვერდიგვერდ მუშაობს.

სად იშლება ჩადგმული გზა

გარე გვირაბის გათიშვა კლავს შიდას. მხოლოდ შიდა კლიენტის ხელახლა დაკავშირება ხშირად პირდაპირ ინტერნეტში აგზავნის და ჩუმად აშორებს ჩადგმას. ყოველ ჯერზე გამოსცადეთ თანმიმდევრობა ნულიდან, ორივე გვირაბის გაჩერებული მდგომარეობით.

დაელოდეთ უფრო მცირე გამოსადეგ MTU-ს. ყოველი ფენა ზედნადებს ამატებს, ამიტომ დაახლოებით 1420 და 1400-ის საწყისი წყვილი კარგი დასაწყისია. გადაცემა, რომელიც დიდ პაკეტებზე იჭედება, სანამ პატარა მოთხოვნები წარმატებით სრულდება, ჩვეული ნიშანია. კორპორატიული პოლიტიკა მეორე ზღვარია, რადგან მართვად მოწყობილობას მოთხოვნილი კლიენტი ჩადგმულ გზას დარღვევად ჩათვლის.

როცა ორივე ბოლო ფიქსირებული ქსელია, კარიბჭეებს შორის საიტ-საიტ გვირაბი აშორებს თანმიმდევრობის პრობლემას და არა მართავს მას. ერთ ლეპტოპზე ორი გვირაბი ერთად მხოლოდ მაშინ არსებობს, როცა თითოეულს აქვს საკუთარი ინტერფეისი და წესი, რომელიც დანიშნულებებს პრეფიქსით ირჩევს.