Firmen-VPN bannent WireGuard: wéi eng Schicht kënnt als éischt?

Et gëtt zwee legitim Grënn, fir Tunnelen op engem Entwéckler-Laptop ze schachtelen. Entweder de Firmen-Client muss ausgesinn, wéi wann en aus engem bestëmmte Land kéim, oder zwee privat Netzwierker musse gläichzäiteg erreechbar sinn. A béide Fäll muss den äusseren Tunnel déi eegen Verbindung vum bannenzege Client dréien.

Zwee Cliente mat enger bestëmmter Reihenfolge starten ergëtt dat net. D'Routing ergëtt dat.

Vergläicht déi zwee méiglech Reihenfolgen

Wielt déi äusserst Schicht als den Tunnel, deem säin Endpunkt vum öffentlechen Internet erreechbar ass. Déi bannenzeg Schicht ass den Tunnel, deem säi Server just iwwer dëse Ausgang äntwert. Op Windows ass déi praktesch Opdeelung WireGuard dobaussen an de Firmen-Client dobannen. De entscheedende Faktor ass Kontroll.

Den offiziellen WireGuard-Client applizéiert eng komplett Konfiguratiounsdatei, inklusiv Routen an DNS. Kommerziell Firmen-Cliente verstoppen normalerweis béides. En verstoppte Client dobaussen ze setzen, léisst Iech de Wee drënner roden.

Déi ëmgedréit Reihenfolge ass net onméiglech. Se ass just méi schwéier ze duerchdenken, well den äusseren Client d'Routen no engem Zäitplang ëmschreift, deen Dir ni gesitt.

Loosst AllowedIPs just de Firmenberäich nennen

AllowedIPs listéiert d'Ziler, déi WireGuard an den Tunnel leet. Fir d'Schachtelung brauch en just d'Adress vum bannenzege Server an d'Firmenpräfixer. Alles anescht bleift am lokalen Netz, Drucksystemer an Hypervisor abegraff. Dat ass en opgedeilten Tunnel vum Design hier, an en ëmgeet dat ganzt Ausschlossproblem.

Eng äusserst Schicht als Volltunnel brauch 0.0.0.0/0 manner déi lokal Beräicher. D'Format ka keen Ausschloss ausdrécken, dofir muss de Komplement berechent an agefüügt ginn.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Wann de bannenzeg Client seng eege Routen net installéiert, listéiert d'Firmenpräfixer selwer. E Präfix, deen an där Linn fehlt, ass en Zil, dat den äusseren Tunnel ni dréit. Eng al Kopie vun der Lëscht ass manner wäert wéi keng, well se nach ëmmer richteg ausgesäit.

Reihenfolge, Metriken an den zweete Adapter

Verbannt als éischten den äusseren Tunnel, da startt de Firmen-Client. Seng Endpunktverbindung geet dann iwwer WireGuard eraus amplaz iwwer de lokale Gateway. Gitt der Firmeninterface eng méi niddreg Metrik, sou datt hir Präfixer fir d'Adressen, déi se besëtzt, gewannen.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

Metriken sinn de Schrëtt, deen d'Leit iwwersprangen. Ouni Reihenfolge gewënnt fir de Präfix, dee sech iwwerschneit, déi Route, déi als lescht installéiert gouf. Dat ännert sech tëschend de Starten, dofir gesäit de Problem intervallweis aus.

Cliente op Basis vun OpenVPN 2.6 bäi hir eege Falle bäi. Wann den Adapter fir d'Entlaaschtung vum Datekanal schonn besat ass, refuséiert eng zweet Instanz einfach ze starten. Undeems ee disable-dco zum Profil bäisetzt, fält en op de méi ale TAP-Wee zréck, an dann lafen déi zwee niefteneen.

Wou de geschachtelte Wee brécht

Den äusseren Tunnel ofzebréngen, mécht den bannenzege futti. Just de bannenzeg Client nees ze verbannen, schéckt en oft direkt an d'Internet an hëlt d'Schachtelung stomm eraus. Test den Uschloss all Kéier vun Null un, mat béiden Tunnelen ofgestoppt.

Erwaart eng méi klengnotzbar MTU. All Schicht bäisetzt Iwwerkäschten, dofir ass eng Startkoppel ëm 1420 an 1400 en Ufankspunkt. En Transfer, dee bei grousse Pakete stécht, während kleng Ufroen duerchkommen, ass dat üblecht Zeechen. D'Firmenpolitik ass déi aner Grenz, well e Client, deen e geréiert Gerät verlaangt, e geschachtelte Wee als Verstouss ugesinn kann.

Wann béid Enden fix Netzwierker sinn, hëlt en Site-zu-Site-Tunnel tëschend de Gateways d'Reihenfolgeproblem ewech amplaz et ze verwalten. Op engem eenzegen Laptop koexistéieren zwee Tunnelen just dann, wann all säin eegen Interface huet an eng Regel, déi d'Ziler pro Präfix auswielt.