Zwee VPN'en hannerenee schalten: wat et verstoppt a wat et kascht

Zwee verschachtelt Tunnelen maachen dech net anonym. Si deelen d'Observatiounen tëschent zwee Fournisseuren, sou datt keen vun deenen zwee deng Heemadress an däin Zil gläichzäiteg gesäit. Dat ass e richtege, awer schmuele Virdeel, an et kënnt mat Routing-, DNS- an MTU-Problemer, déi sech déi éischte Kéier weisen, wann s du dech drop verléisst.

1. Entscheed, wofir den zweeten Hopp ass

Schreif d'Zil an engem Saz op, ier s du eppes konfiguréiers. Wann d'Zil ass, datt däin ISP net gesäit, wéi eng Säiten s du besichs, gëtt dat vun engem Tunnel erreecht. Wann d'Zil ass, datt kee eenzegen Fournisseur deng Adress mat dengem Traffic verknëppe kann, maachen dat zwee. Wann d'Zil ass, datt keen dech identifizéiere kann, da kënnt keng Zuel vun Hoppen dohinner.

D'Kette ass just sou staark wéi d'Loge vum méi schwache Fournisseur an d'Kontodateien, déi déi zwee féieren. Bezuelungen, Umeldungs-E-Mail an d'App-Telemetrie leien komplett ausserhalb vum Tunnel.

2. Maach den banneschten Ennpunkt duerch den äusseren Tunnel erreechbar

De gewéinleche Feeler ass, datt den banneschten Tunnel ni opgebaut gëtt. Eng äusser Verbindung mat vollem Tunnel besëtzt déi Standardroute, also gëtt den Usproch vum banneschte Client, säin eegent Enn z'erreechen, vum äusseren Tunnel verschluecht an entweeder verworf oder an eng Schleif gesat. Den banneschten Ennpunkt brauch eng explizit Route duerch d'äusseren Interface, installéiert ier den banneschte Client start. Soss rifft den Handshake mat der Route ëm d'Wett a verléiert.

WireGuard weist dee selwechte Konflikt aus der anerer Richtung. D'AllowedIPs vu jidwederem Peer entscheet, wéi eng Ziler an deen Tunnel kommen, also behaapt en banneschten Interface, deen all Adress behaapt, och den äusseren Ennpunkt, ausser eng méi spezifesch Route gewënnt. Iwwerlappend AllowedIPs iwwer zwee Interfacen ass eng Konfiguratioun, an där eng Säit stëll verléiert.

Containerketten mécht d'Trennung explizit an d'Fal evident. E Container mat sengem eegene Nummraum, senger eegener Standardroute an engem Client dobannen exportéiert wat den Host him schéckt; den Host fänkt net selwer un, dee Wee ze benotzen. Aktivéier d'Weiderleedung, füüg eng Route fir den Tunnel vum Container derbäi a riicht de Service op d'Adress vum Container.

3. Hal DNS op deem selwechte Wee

DNS muss dohinner reesen, wou den Traffic reest. Wann den banneschten Fournisseur Resolveren ubitt an den Host nach ëmmer déi lokal frot, da verroden déi Ufroe genee déi Säiten, déi den Tunnel soll verstoppen. Kontrolléier mat engem Mitschnëtt op jidwederem Tunnelinterface, amplaz dem Client sengem Statuspanel ze vertrauen. Eng Leck hei ass beim normale Surfen onsiichtbar a beim Mitschnëtt evident.

Opgedeelt DNS-Konzepten maachen dat méi schwéier, well eng Ufro fir en lokalen Numm legitimerweis ausserhalb vum Tunnel ka gehéieren. Schreif d'Ausnamlëscht bewosst op, amplaz se ze entdecken no deem, wéi en Resolver just zoufallseg geäntwert huet.

4. Setz d'MTU, ier d'Benotzer et fir dech entdecken

D'MTU ass déi aner viraussobar Affer. Zwee Kapselunge huelen zwee Header ewech, an en äusseren Tunnel, deen d'MTU vum Wee schonn erofgesat huet, léisst bannen manner Plaz. D'Symptomer si bekannt: kleng Ufroe ginn duerch, grouss Iwwerdroungen an TLS-Handshake stocken.

ip link set dev wg1 mtu 1280 ass de groben Fix, an d'MSS um Weiderleeter ze begrenzen ass dee propperen. D'Verbindung nach eng Kéier ze probéieren ass iwwerhaapt kee Fix.

5. Test de Feeler, deen s du tatsächlech wäert kréien

Briech den äusseren Tunnel bewosst of a kuck, wat geschitt. Eng Kette, déi stëll op en direkte Wee zeréckfällt, wann den äusseren Hopp stierft, ass schlëmmer wéi keng Kette, well se genee an deem Ament leckt, an deem s du gegleeft hues, s du wiers ofgeséchert. D'Verhalen, op dat s du zilst, ass e Kill Switch, deen all Traffic stoppt. Schreib d'Resultat op, well s du wëlls et net mëttel an engem Virfall erëm entdecken.

Latenz an en zweete Feelerpunkt sinn déi stänneg Käschten. Zwee Hoppen heeschen och zwee Supportschlaangen, wann eppes zu enger ongënschteger Stonn futti geet.