Эки VPNды чынжырга кошуу: эмнени жашырат жана канча турат

Эки ичине салынган туннел сизди анонимдүү кылбайт. Алар байкоолорду эки провайдердин ортосунда бөлүшөт, ошондуктан экөө тең үй дарегиңиз менен барар жериңизди бирге көрбөйт. Бул чыныгы, бирок тар пайда жана аны менен бирге маршруттоо, DNS жана MTU көйгөйлөрү келет, алар ага биринчи жолу таянганда пайда болот.

1. Экинчи секирүү эмне үчүн экенин чечиңиз

Бир нерсени жөндөөдөн мурун максатты бир сүйлөм менен жазыңыз. Максат ISPңиз кайсы сайттарга кирериңизди көрбөшү болсо, бир туннель ошого жетет. Максат бир да жеке провайдер дарегиңизди трафигиңиз менен байланыштыра албашы болсо, муну эки туннель жасайт. Максат сизди эч ким тааный албашы болсо, секирүүлөрдүн канча болушуна карабастан ал жакка жетпейт.

Чынжыр начар провайдердин журналдары жана экөө тең сактаган эсеп жазуулары канчалык бекем болсо, ошончолук бекем. Төлөмдөр, каттоо почтасы жана колдонмо телеметриясы туннелден толук тышкары.

2. Ички учту тышкы туннель аркылуу жеткиликтүү кылыңыз

Кадимки ийгиликсиздик — ички туннель эч качан орнотулбайт. Толук туннелдүү тышкы туташуу демейки маршрутка ээ, ошондуктан ички кардардын өз учуна жетүү аракетин тышкы туннель жутуп, аны таштайт же циклге салат. Ички учка тышкы интерфейс аркылуу так маршрут керек, ал ички кардар башталганга чейин орнотулушу керек. Болбосо кол алышуу маршрут менен жарышып, утулат.

WireGuard ошол эле карама-каршылыкты экинчи тараптан көрсөтөт. Ар бир peerдин AllowedIPs кайсы барар жерлер ошол туннелге кирерин аныктайт, ошондуктан ар бир даректи талап кылган ички интерфейс тышкы учту да талап кылат, эгер такыраак маршрут жеңбесе. Эки интерфейстеги AllowedIPs кабатташуусу — бир тарап үнсүз утулган конфигурация.

Контейнерлер чынжыры бөлүүнү ачык, тузакты айкын кылат. Өз ат мейкиндиги, өз демейки маршруту жана ичинде кардары бар контейнер хост жибергенди өткөрүп берет; хост өзү бул жолду колдоно баштабайт. Өткөрүүнү күйгүзүңүз, контейнердин туннели үчүн маршрут кошуңуз жана кызматты контейнердин дарегине багыттаңыз.

3. DNSти ошол эле жолдо кармаңыз

DNS трафик жүргөн жерге жүрүшү керек. Эгер ички провайдер чечүүчүлөрдү сунуштап, хост дагы эле жергиликтүүлөрдөн сураса, бул суроолор туннель жашырышы керек болгон сайттарды так ашкерелейт. Кардардын статус панелине ишенүүнүн ордуна ар бир туннель интерфейсинде кармоо аркылуу текшериңиз. Бул жердеги агым кадимки серептөөдө көрүнбөйт, ал эми кармоодо айкын.

Бөлүнгөн DNS долбоорлору муну кыйындатат, анткени жергиликтүү атка суроо мыйзамдуу түрдө туннелден тышкары тиешелүү болушу мүмкүн. Эрежелер тизмесин кайсы чечүүчү кокустан жооп бергенине карап ачуунун ордуна атайын жазыңыз.

4. Колдонуучулар сиздин ордуңузга билип калбашы үчүн MTUну коюңуз

MTU — кийинки болжолдонуучу курмандык. Эки инкапсуляция эки аталышты алып салат, ал эми жолдун MTUсун мурун эле төмөндөткөн тышкы туннель ичинде азыраак орун калтырат. Симптомдор тааныш: кичине суроолор өтөт, чоң өткөрүүлөр жана TLS кол алышуулары токтоп калат.

ip link set dev wg1 mtu 1280 — одоно чечим, ал эми өткөргүчтө MSSти чектөө — тазараак. Туташууну кайра аракет кылуу эч кандай чечим эмес.

5. Иш жүзүндө боло турган ийгиликсиздикти сынаңыз

Тышкы туннелди атайын үзүп, эмне болорун байкаңыз. Тышкы секирүү өлгөндө үнсүз түз жолго түшкөн чынжыр чынжыр жоктон жаман, анткени ал сиз корголдом деп ишенген так ошол учурда агат. Көздөлгөн жүрүм-турум — бардык трафикти токтоткон kill switch. Жыйынтыкты жазып коюңуз, анткени окуянын ортосунда аны кайра ачкыңыз келбейт.

Кечигүү жана экинчи ийгиликсиздик чекити — туруктуу чыгым. Эки секирүү ынгайсыз саатта бир нерсе бузулса, эки колдоо кезегин да билдирет.