WireGuard ичиндеги корпоративдик VPN: кайсы катмар биринчи келет?

Иштеп чыгуучунун ноутбугунда туннелдерди биринин ичине бирин салуунун эки негиздүү себеби бар. Же корпоративдик клиент белгилүү бир өлкөдөн келгендей көрүнүшү керек, же эки жеке тармак бир убакта жеткиликтүү болушу керек. Эки учурда тең сырткы туннель ички клиенттин өз байланышын ташышы керек.

Эки клиентти каалаган тартипте баштоо муну бербейт. Муну маршруттоо берет.

Эки мүмкүн болгон тартипти салыштырыңыз

Сырткы катмар катары акыркы чекитине ачык интернеттен жетүүгө боло турган туннелди тандаңыз. Ички катмар — сервери ушул чыгуу аркылуу гана жооп берген туннель. Windows-то практикалык бөлүнүү: WireGuard сыртта, корпоративдик клиент ичте. Чечүүчү фактор — көзөмөл.

WireGuard'дын расмий клиенти толук конфигурация файлын колдонот, маршруттар жана DNS менен. Коммерциялык корпоративдик клиенттер адатта экөөнү тең жашырат. Жашыруун клиентти сыртка койсоңуз, астындагы жолду болжолдоого туура келет.

Кайта тартип мүмкүн эмес эмес. Жөн гана ал тууралуу ой жүгүртүү кыйыныраак, анткени сырткы клиент маршруттарды сиз эч качан көрбөгөн график боюнча кайра жазат.

AllowedIPs корпоративдик диапазонду гана атасын

AllowedIPs WireGuard туннелге багыттаган барар жерлерди тизмелейт. Ичине салуу үчүн ага ички сервердин дареги жана корпоративдик префикстер гана керек. Калганынын баары жергиликтүү тармакта калат, принтерлер жана гипервизор менен. Бул долбоор боюнча бөлүнгөн туннель жана ал четтетүү маселесин толук четтетет.

Толук туннелдүү сырткы катмарга керек 0.0.0.0/0 минус жергиликтүү диапазондор. Формат четтетүүнү туюнта албайт, ошондуктан толуктоону эсептеп, жабыштыруу керек.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Ички клиент өз маршруттарын орнотпосо, корпоративдик префикстерди өзүңүз тизмелеңиз. Ошол саптан түшүп калган префикс сырткы туннель эч качан ташыбаган барар жер. Тизменин эскирген көчүрмөсү жоктугунан жаман, анткени ал дагы эле туура көрүнөт.

Тартип, метрикалар жана экинчи адаптер

Алгач сырткы туннелге туташыңыз, андан соң корпоративдик клиентти баштаңыз. Ошондо анын акыркы чекит байланышы жергиликтүү шлюздун ордуна WireGuard аркылуу чыгат. Корпоративдик интерфейске төмөнүрөөк метрика бериңиз, анын префикстери өзүнө таандык даректерде жеңишке жетсин.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

Метрикалар — адамдар өткөрүп жиберген кадам. Тартипсиз кабатташкан префикс үчүн акыркы орнотулган маршрут жеңет. Бул жүктөөлөрдүн ортосунда өзгөрөт, ошондуктан маселе үзгүлтүктүү көрүнөт.

OpenVPN 2.6 негизинде курулган клиенттер өз тузактарын кошот. Маалымат каналын түшүрүү адаптери мурунтан эле бош эмес болсо, экинчи нуска баштоодон баш тартат. Профилге disable-dco кошуу эски TAP жолуна кайтарат, ошондо экөө тең катар иштейт.

Ичине салынган жол кайда үзүлөт

Сырткы туннелди ажыратуу ичкисин өлтүрөт. Ички клиентти гана кайра туташтыруу аны көп учурда түз эле интернетке жиберет жана ичине салууну унчукпай алып салат. Ар бир жолу тартипти нөлдөн баштап текшериңиз, эки туннель тең токтотулган абалда.

Кичирээк пайдалуу MTU күтүңүз. Ар бир катмар кошумча чыгым кошот, ошондуктан болжол менен 1420 жана 1400 баштапкы жубу баштоого ылайыктуу. Чоң пакеттерде токтоп, кичине сурамдар ийгиликтүү өткөн өткөрүү — адаттагы белги. Корпоративдик саясат — экинчи чек, анткени башкарылуучу түзмөк каалаган клиент ичине салынган жолду бузуу деп эсептеши мүмкүн.

Эки учун тең туруктуу тармак болсо, шлюздердин ортосундагы сайт-сайт туннели тартип маселесин башкаруунун ордуна жоёт. Бир ноутбукта эки туннель ар биринин өз интерфейси жана префикс боюнча барар жерди тандоочу эрежеси болгондо гана катар жашайт.