Dviejų VPN grandinė: ką ji slepia ir kiek kainuoja

Du įdėtieji tuneliai nepadaro jūsų anoniminiais. Jie pasidalija stebėjimus tarp dviejų tiekėjų, todėl nė vienas nemato kartu jūsų namų adreso ir paskirties vietos. Tai tikra, bet siaura nauda, ir ji ateina su maršrutizavimo, DNS ir MTU problemomis, kurios pasirodo pirmą kartą ja pasikliaujant.

1. Nuspręskite, kam skirtas antras šuolis

Užrašykite tikslą vienu sakiniu prieš ką nors konfigūruodami. Jei tikslas yra kad jūsų ISP negalėtų matyti, kurias svetaines lankote, tai pasiekia vienas tunelis. Jei tikslas yra kad nė vienas atskiras tiekėjas negalėtų susieti jūsų adreso su jūsų srautu, tai padaro du. Jei tikslas yra kad niekas negalėtų jūsų atpažinti, tai nepasiekia joks šuolių skaičius.

Grandinė yra tik tokia stipri, kokios stiprios silpnesniojo tiekėjo žurnalai ir abiejų tvarkomi paskyros įrašai. Mokėjimai, registracijos el. paštas ir programėlės telemetrija yra visiškai už tunelio ribų.

2. Padarykite vidinį galą pasiekiamą per išorinį tunelį

Įprasta nesėkmė — vidinis tunelis niekada nesudaromas. Išorinis viso tunelio ryšys valdo numatytąjį maršrutą, todėl vidinio kliento bandymą pasiekti savo galą išorinis tunelis praryja ir numeta arba įstato į kilpą. Vidiniam galui reikia aiškaus maršruto per išorinę sąsają, įdiegto prieš paleidžiant vidinį klientą. Priešingu atveju rankos paspaudimas lenktyniauja su maršrutu ir pralaimi.

WireGuard rodo tą patį konfliktą iš kitos pusės. Kiekvieno peer AllowedIPs nustato, kurie tikslai patenka į tą tunelį, todėl vidinė sąsaja, reikalaujanti visų adresų, reikalauja ir išorinio galo, nebent laimi konkretesnis maršrutas. Persidengiantys AllowedIPs dviejose sąsajose yra konfigūracija, kurioje viena pusė tyliai pralaimi.

Konteinerių grandinė padaro atskyrimą aiškų, o spąstus akivaizdžius. Konteineris su savo vardų erdve, savo numatytuoju maršrutu ir klientu viduje persiunčia tai, ką jam siunčia pagrindinė sistema; pati sistema nepradeda naudoti to kelio. Įjunkite persiuntimą, pridėkite maršrutą konteinerio tuneliui ir nukreipkite paslaugą į konteinerio adresą.

3. Laikykite DNS tame pačiame kelyje

DNS turi keliauti ten, kur keliauja srautas. Jei vidinis tiekėjas siūlo sprendiklius, o pagrindinė sistema vis dar klausia vietinių, tie užklausimai atskleidžia būtent tas svetaines, kurias tunelis turėjo paslėpti. Tikrinkite užfiksavimu kiekvienoje tunelio sąsajoje, o ne pasitikėkite kliento būsenos skydeliu. Nutekėjimas čia nematomas įprastai naršant ir akivaizdus užfiksavime.

Padalinto DNS sprendimai tai apsunkina, nes užklausimas dėl vietinio vardo gali teisėtai priklausyti už tunelio ribų. Išimčių sąrašą parašykite sąmoningai, o ne atraskite pagal tai, kuris sprendiklis atsitiktinai atsakė.

4. Nustatykite MTU, kol naudotojai to nesužinojo už jus

MTU yra kita nuspėjama auka. Du inkapsuliavimai atima dvi antraštes, o išorinis tunelis, kuris jau sumažino kelio MTU, palieka mažiau vietos viduje. Simptomai pažįstami: mažos užklausos praeina, dideli perdavimai ir TLS rankos paspaudimai stringa.

ip link set dev wg1 mtu 1280 yra grubus sprendimas, o MSS ribojimas persiuntėjuje yra tvarkingesnis. Bandymas prisijungti iš naujo visai nėra sprendimas.

5. Išbandykite gedimą, kurį tikrai gausite

Tyčia nutraukite išorinį tunelį ir stebėkite, kas nutinka. Grandinė, kuri tyliai nukrenta į tiesioginį kelią, kai išorinis šuolis miršta, yra blogiau nei jokios grandinės, nes ji nuteka būtent tą akimirką, kai tikėjotės būti apsaugoti. Siektinas elgesys yra kill switch, sustabdantis visą srautą. Užrašykite rezultatą, nes nenorėsite jo iš naujo atrasti incidento viduryje.

Vėlavimas ir antras gedimo taškas yra pastovios išlaidos. Du šuoliai taip pat reiškia dvi palaikymo eiles, kai kas nors sugenda nepatogiu metu.