WireGuard ಒಳಗೆ ಕಾರ್ಪೊರೇಟ್ VPN: ಯಾವ ಪದರ ಮೊದಲು ಬರುತ್ತದೆ?

ಡೆವಲಪರ್ ಲ್ಯಾಪ್‌ಟಾಪ್‌ನಲ್ಲಿ ಟನೆಲ್‌ಗಳನ್ನು ಒಂದರೊಳಗೊಂದು ಇಡಲು ಎರಡು ಸರಿಯಾದ ಕಾರಣಗಳಿವೆ. ಒಂದೋ ಕಾರ್ಪೊರೇಟ್ ಕ್ಲೈಂಟ್ ನಿರ್ದಿಷ್ಟ ದೇಶದಿಂದ ಬರುತ್ತಿರುವಂತೆ ಕಾಣಬೇಕು, ಇಲ್ಲವೇ ಎರಡು ಖಾಸಗಿ ನೆಟ್‌ವರ್ಕ್‌ಗಳು ಒಂದೇ ಸಮಯದಲ್ಲಿ ತಲುಪಬಲ್ಲಂತಿರಬೇಕು. ಎರಡೂ ಸಂದರ್ಭಗಳಲ್ಲಿ ಹೊರಗಿನ ಟನೆಲ್ ಒಳಗಿನ ಕ್ಲೈಂಟ್‌ನದೇ ಸಂಪರ್ಕವನ್ನು ಹೊರಬೇಕು.

ಎರಡು ಕ್ಲೈಂಟ್‌ಗಳನ್ನು ಯಾವುದೇ ಕ್ರಮದಲ್ಲಿ ಪ್ರಾರಂಭಿಸುವುದರಿಂದ ಅದು ಆಗುವುದಿಲ್ಲ. ರೂಟಿಂಗ್ ಅದನ್ನು ಮಾಡುತ್ತದೆ.

ಎರಡು ಸಾಧ್ಯ ಕ್ರಮಗಳನ್ನು ಹೋಲಿಸಿ

ಹೊರಗಿನ ಪದರವಾಗಿ ಯಾವ ಟನೆಲ್‌ನ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಸಾರ್ವಜನಿಕ ಇಂಟರ್ನೆಟ್‌ನಿಂದ ತಲುಪಬಹುದೋ ಅದನ್ನು ಆರಿಸಿ. ಒಳಗಿನ ಪದರ ಎಂದರೆ ಅದರ ಸರ್ವರ್ ಆ ನಿರ್ಗಮನದ ಮೂಲಕವೇ ಉತ್ತರಿಸುವ ಟನೆಲ್. Windows ನಲ್ಲಿ ಪ್ರಾಯೋಗಿಕ ವಿಭಜನೆ ಹೊರಗೆ WireGuard ಮತ್ತು ಒಳಗೆ ಕಾರ್ಪೊರೇಟ್ ಕ್ಲೈಂಟ್. ನಿರ್ಣಾಯಕ ಅಂಶ ನಿಯಂತ್ರಣ.

ಅಧಿಕೃತ WireGuard ಕ್ಲೈಂಟ್ ಸಂಪೂರ್ಣ ಸಂರಚನಾ ಫೈಲ್ ಅನ್ನು ಅನ್ವಯಿಸುತ್ತದೆ, ರೂಟ್ ಮತ್ತು DNS ಸೇರಿದಂತೆ. ವಾಣಿಜ್ಯ ಕಾರ್ಪೊರೇಟ್ ಕ್ಲೈಂಟ್‌ಗಳು ಸಾಮಾನ್ಯವಾಗಿ ಎರಡನ್ನೂ ಮರೆಮಾಡುತ್ತವೆ. ಮರೆಮಾಡಿದ ಕ್ಲೈಂಟ್ ಅನ್ನು ಹೊರಗೆ ಇಟ್ಟರೆ ಅದರ ಕೆಳಗಿನ ಮಾರ್ಗವನ್ನು ಊಹಿಸಬೇಕಾಗುತ್ತದೆ.

ತಿರುಗು ಮುರುಗು ಕ್ರಮ ಅಸಾಧ್ಯವಲ್ಲ. ಅದರ ಬಗ್ಗೆ ಯೋಚಿಸುವುದು ಕಷ್ಟ, ಏಕೆಂದರೆ ಹೊರಗಿನ ಕ್ಲೈಂಟ್ ನೀವು ಎಂದೂ ನೋಡದ ವೇಳಾಪಟ್ಟಿಯಂತೆ ರೂಟ್‌ಗಳನ್ನು ಮತ್ತೆ ಬರೆಯುತ್ತದೆ.

AllowedIPs ಕೇವಲ ಕಾರ್ಪೊರೇಟ್ ಶ್ರೇಣಿಯನ್ನು ಹೆಸರಿಸಲಿ

AllowedIPs WireGuard ಟನೆಲ್‌ಗೆ ರೂಟ್ ಮಾಡುವ ಗಮ್ಯಸ್ಥಾನಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ. ಒಳಗೊಳಗೆ ಇಡಲು ಅದಕ್ಕೆ ಒಳಗಿನ ಸರ್ವರ್ ವಿಳಾಸ ಮತ್ತು ಕಾರ್ಪೊರೇಟ್ ಪ್ರಿಫಿಕ್ಸ್‌ಗಳಷ್ಟೇ ಬೇಕು. ಉಳಿದೆಲ್ಲವೂ ಸ್ಥಳೀಯ ನೆಟ್‌ವರ್ಕ್‌ನಲ್ಲೇ ಉಳಿಯುತ್ತದೆ, ಮುದ್ರಕಗಳು ಮತ್ತು ಹೈಪರ್‌ವೈಸರ್ ಸೇರಿದಂತೆ. ಇದು ವಿನ್ಯಾಸದಿಂದಲೇ ವಿಭಜಿತ ಟನೆಲ್, ಮತ್ತು ಹೊರಗಿಡುವ ಸಮಸ್ಯೆಯನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ತಪ್ಪಿಸುತ್ತದೆ.

ಪೂರ್ಣ ಟನೆಲ್‌ನ ಹೊರಗಿನ ಪದರಕ್ಕೆ ಬೇಕು 0.0.0.0/0 ಕಳೆದ ಸ್ಥಳೀಯ ಶ್ರೇಣಿಗಳು. ಸ್ವರೂಪವು ಹೊರಗಿಡುವಿಕೆಯನ್ನು ವ್ಯಕ್ತಪಡಿಸಲಾರದು, ಆದ್ದರಿಂದ ಪೂರಕವನ್ನು ಲೆಕ್ಕ ಮಾಡಿ ಅಂಟಿಸಬೇಕು.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

ಒಳಗಿನ ಕ್ಲೈಂಟ್ ತನ್ನದೇ ರೂಟ್‌ಗಳನ್ನು ಸ್ಥಾಪಿಸದಿದ್ದರೆ, ಕಾರ್ಪೊರೇಟ್ ಪ್ರಿಫಿಕ್ಸ್‌ಗಳನ್ನು ನೀವೇ ಪಟ್ಟಿ ಮಾಡಿ. ಆ ಸಾಲಿನಿಂದ ಬಿಟ್ಟುಹೋದ ಪ್ರಿಫಿಕ್ಸ್ ಹೊರಗಿನ ಟನೆಲ್ ಎಂದೂ ಹೊರುವ ಗಮ್ಯಸ್ಥಾನ. ಪಟ್ಟಿಯ ಹಳೆಯ ಪ್ರತಿ ಇಲ್ಲದಿರುವುದಕ್ಕಿಂತ ಕೆಟ್ಟದು, ಏಕೆಂದರೆ ಅದು ಇನ್ನೂ ಸರಿಯಾಗಿ ಕಾಣುತ್ತದೆ.

ಕ್ರಮ, ಮೆಟ್ರಿಕ್‌ಗಳು ಮತ್ತು ಎರಡನೇ ಅಡಾಪ್ಟರ್

ಮೊದಲು ಹೊರಗಿನ ಟನೆಲ್‌ಗೆ ಸಂಪರ್ಕಿಸಿ, ನಂತರ ಕಾರ್ಪೊರೇಟ್ ಕ್ಲೈಂಟ್ ಪ್ರಾರಂಭಿಸಿ. ಆಗ ಅದರ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಸಂಪರ್ಕ ಸ್ಥಳೀಯ ಗೇಟ್‌ವೇ ಬದಲು WireGuard ಮೂಲಕ ಹೊರಹೋಗುತ್ತದೆ. ಕಾರ್ಪೊರೇಟ್ ಇಂಟರ್‌ಫೇಸ್‌ಗೆ ಕಡಿಮೆ ಮೆಟ್ರಿಕ್ ನೀಡಿ, ಅದರ ಪ್ರಿಫಿಕ್ಸ್‌ಗಳು ಅದರ ಒಡೆತನದ ವಿಳಾಸಗಳಿಗೆ ಗೆಲ್ಲುವಂತೆ.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

ಮೆಟ್ರಿಕ್‌ಗಳು ಜನರು ಬಿಟ್ಟುಬಿಡುವ ಹಂತ. ಕ್ರಮವಿಲ್ಲದಿದ್ದರೆ, ಒಂದರ ಮೇಲೊಂದು ಬರುವ ಪ್ರಿಫಿಕ್ಸ್‌ಗೆ ಕೊನೆಯಲ್ಲಿ ಸ್ಥಾಪಿಸಿದ ರೂಟ್ ಗೆಲ್ಲುತ್ತದೆ. ಇದು ಬೂಟ್‌ಗಳ ನಡುವೆ ಬದಲಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಸಮಸ್ಯೆ ಮಧ್ಯೆ ಮಧ್ಯೆ ಬರುವಂತೆ ಕಾಣುತ್ತದೆ.

OpenVPN 2.6 ಮೇಲೆ ನಿರ್ಮಿಸಿದ ಕ್ಲೈಂಟ್‌ಗಳು ತಮ್ಮದೇ ಬಲೆ ಸೇರಿಸುತ್ತವೆ. ಡೇಟಾ ಚಾನೆಲ್ ಆಫ್‌ಲೋಡ್ ಅಡಾಪ್ಟರ್ ಈಗಾಗಲೇ ಬಳಕೆಯಲ್ಲಿದ್ದರೆ, ಎರಡನೇ ಇನ್‌ಸ್ಟಾನ್ಸ್ ಪ್ರಾರಂಭವಾಗಲು ನಿರಾಕರಿಸುತ್ತದೆ. ಪ್ರೊಫೈಲ್‌ಗೆ disable-dco ಸೇರಿಸಿದರೆ ಹಳೆಯ TAP ಮಾರ್ಗಕ್ಕೆ ಮರಳುತ್ತದೆ, ಆಗ ಎರಡೂ ಅಕ್ಕಪಕ್ಕದಲ್ಲಿ ಚಲಿಸುತ್ತವೆ.

ಒಳಗೊಳಗಿನ ಮಾರ್ಗ ಎಲ್ಲಿ ಮುರಿಯುತ್ತದೆ

ಹೊರಗಿನ ಟನೆಲ್ ಸಂಪರ್ಕ ಕಡಿತಗೊಳಿಸಿದರೆ ಒಳಗಿನದೂ ಸಾಯುತ್ತದೆ. ಒಳಗಿನ ಕ್ಲೈಂಟ್ ಮಾತ್ರ ಮತ್ತೆ ಸಂಪರ್ಕಿಸಿದರೆ ಅದು ಹಲವು ಬಾರಿ ನೇರವಾಗಿ ಇಂಟರ್ನೆಟ್‌ಗೆ ಹೋಗಿ ಮೌನವಾಗಿ ಒಳಗೊಳಗಿನ ಜೋಡಣೆಯನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ. ಪ್ರತಿ ಬಾರಿ ಎರಡೂ ಟನೆಲ್‌ಗಳನ್ನು ನಿಲ್ಲಿಸಿ ಕ್ರಮವನ್ನು ಮೊದಲಿನಿಂದ ಪರೀಕ್ಷಿಸಿ.

ಚಿಕ್ಕ ಉಪಯುಕ್ತ MTU ನಿರೀಕ್ಷಿಸಿ. ಪ್ರತಿ ಪದರವೂ ಹೆಚ್ಚುವರಿ ಹೊರೆ ಸೇರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ 1420 ಮತ್ತು 1400 ಸುತ್ತಮುತ್ತಲಿನ ಆರಂಭಿಕ ಜೋಡಿ ಪ್ರಾರಂಭಿಸಲು ಒಳ್ಳೆಯ ಜಾಗ. ದೊಡ್ಡ ಪ್ಯಾಕೆಟ್‌ಗಳಲ್ಲಿ ನಿಂತು ಸಣ್ಣ ವಿನಂತಿಗಳು ಯಶಸ್ವಿಯಾಗುವ ವರ್ಗಾವಣೆ ಸಾಮಾನ್ಯ ಸೂಚನೆ. ಕಾರ್ಪೊರೇಟ್ ನೀತಿ ಇನ್ನೊಂದು ಮಿತಿ, ಏಕೆಂದರೆ ನಿರ್ವಹಿತ ಸಾಧನ ಬಯಸುವ ಕ್ಲೈಂಟ್ ಒಳಗೊಳಗಿನ ಮಾರ್ಗವನ್ನು ಉಲ್ಲಂಘನೆ ಎಂದು ಪರಿಗಣಿಸಬಹುದು.

ಎರಡೂ ತುದಿಗಳು ಸ್ಥಿರ ನೆಟ್‌ವರ್ಕ್ ಆದಾಗ, ಗೇಟ್‌ವೇಗಳ ನಡುವಿನ ಸೈಟ್-ಟು-ಸೈಟ್ ಟನೆಲ್ ಕ್ರಮದ ಸಮಸ್ಯೆಯನ್ನು ನಿರ್ವಹಿಸುವ ಬದಲು ತೆಗೆದುಹಾಕುತ್ತದೆ. ಒಂದೇ ಲ್ಯಾಪ್‌ಟಾಪ್‌ನಲ್ಲಿ ಎರಡು ಟನೆಲ್‌ಗಳು ಪ್ರತಿಯೊಂದಕ್ಕೂ ತನ್ನದೇ ಇಂಟರ್‌ಫೇಸ್ ಮತ್ತು ಪ್ರಿಫಿಕ್ಸ್ ಪ್ರಕಾರ ಗಮ್ಯಸ್ಥಾನ ಆರಿಸುವ ನಿಯಮ ಇದ್ದಾಗ ಮಾತ್ರ ಜೊತೆಯಾಗಿ ಇರುತ್ತವೆ.