Екі VPN-ды тізбекке қосу: ол нені жасырады және қанша тұрады

Екі кірістірілген туннель сізді анонимді етпейді. Олар бақылауларды екі провайдер арасында бөледі, сондықтан ешқайсысы үй мекенжайыңыз бен баратын жеріңізді бірге көрмейді. Бұл шынайы, бірақ тар пайда, және онымен бірге маршруттау, DNS және MTU мәселелері келеді, олар оған бірінші рет сүйенгенде пайда болады.

1. Екінші секірістің не үшін керегін шешіңіз

Бірдеңе реттемес бұрын мақсатты бір сөйлеммен жазып қойыңыз. Егер мақсат ISP-іңіз қай сайттарға кіретініңізді көрмеуі болса, бір туннель соған жетеді. Егер мақсат бірде-бір жеке провайдер мекенжайыңызды трафикіңізбен байланыстыра алмауы болса, оны екі туннель жасайды. Егер мақсат сізді ешкім тани алмауы болса, секірістердің қандай да саны оған жетпейді.

Тізбек әлсіз провайдердің журналдары мен екеуі де ұстайтын шот жазбалары қаншалықты мықты болса, соншалықты мықты. Төлемдер, тіркелу поштасы және қолданба телеметриясы туннельден толық тыс.

2. Ішкі ұшты сыртқы туннель арқылы қолжетімді етіңіз

Әдеттегі сәтсіздік — ішкі туннель ешқашан орнатылмайды. Толық туннельді сыртқы қосылым әдепкі маршрутқа ие, сондықтан ішкі клиенттің өз ұшына жету әрекетін сыртқы туннель жұтып қояды және оны тастайды немесе циклге салады. Ішкі ұшқа сыртқы интерфейс арқылы нақты маршрут керек, ол ішкі клиент іске қосылмас бұрын орнатылуы тиіс. Әйтпесе қол алысу маршрутпен жарысып, жеңіледі.

WireGuard сол қайшылықты екінші жақтан көрсетеді. Әр peer-дің AllowedIPs қай барар жерлердің сол туннельге кіретінін анықтайды, сондықтан әр мекенжайды талап ететін ішкі интерфейс сыртқы ұшты да талап етеді, егер неғұрлым нақты маршрут жеңбесе. Екі интерфейстегі AllowedIPs қабаттасуы — бір жағы үнсіз жеңілетін конфигурация.

Контейнерлер тізбегі бөлуді айқын, тұзақты анық етеді. Өз аттар кеңістігі, өз әдепкі маршруты және ішінде клиенті бар контейнер хост оған жібергенді жалғастырады; хосттың өзі бұл жолды қолдана бастамайды. Жалғауды қосыңыз, контейнер туннеліне маршрут қосыңыз және қызметті контейнер мекенжайына бағыттаңыз.

3. DNS-ті сол жолда ұстаңыз

DNS трафик жүретін жерге жүруі керек. Егер ішкі провайдер шешушілерді ұсынып, хост әлі де жергіліктерден сұраса, бұл сұраулар туннель жасыруы тиіс сайттарды дәл әшкерелейді. Клиенттің күй панеліне сенудің орнына әр туннель интерфейсінде ұстап алу арқылы тексеріңіз. Мұндағы ағу қалыпты шолу кезінде көрінбейді, ал ұстап алуда айқын.

Бөлінген DNS жобалары мұны қиындатады, өйткені жергілікті атауға сұраныс заңды түрде туннельден тысқары тиесілі болуы мүмкін. Ерекшеліктер тізімін қай шешуші кездейсоқ жауап бергеніне қарап ашудың орнына әдейі жазыңыз.

4. MTU-ді пайдаланушылар сіздің орныңызға ашпас бұрын орнатыңыз

MTU — келесі болжамды құрбан. Екі инкапсуляция екі тақырыпты алып тастайды, ал жолдың MTU-ін бұрын төмендеткен сыртқы туннель ішінде азырақ орын қалдырады. Симптомдар таныс: шағын сұраныстар өтеді, үлкен тасымалдар мен TLS қол алысулары тұрып қалады.

ip link set dev wg1 mtu 1280 — өрескел шешім, ал жалғағышта MSS-ті шектеу — ұқыптырақ. Қосылымды қайта көру мүлдем шешім емес.

5. Іс жүзінде болатын істен шығуды сынаңыз

Сыртқы туннельді әдейі үзіп, не болатынын бақылаңыз. Сыртқы секіріс өлгенде үнсіз тікелей жолға түсетін тізбек тізбектің жоқтығынан да жаман, өйткені ол дәл сіз қорғалдым деп сенген сәтте ағады. Көзделетін мінез — барлық трафикті тоқтататын kill switch. Нәтижені жазып қойыңыз, өйткені оқиғаның ортасында оны қайта ашқыңыз келмейді.

Кешігу мен екінші істен шығу нүктесі — тұрақты шығын. Екі секіріс ыңғайсыз сағатта бірдеңе бұзылса, екі қолдау кезегін де білдіреді.