WireGuard-നുള്ളിൽ കോർപ്പറേറ്റ് VPN: ഏത് പാളി ആദ്യം വരുന്നു?

ഡെവലപ്പറുടെ ലാപ്ടോപ്പിൽ ടണലുകൾ ഒന്നിനുള്ളിൽ മറ്റൊന്നായി വയ്ക്കാൻ രണ്ട് ന്യായമായ കാരണങ്ങളുണ്ട്. ഒന്നുകിൽ കോർപ്പറേറ്റ് ക്ലയന്റ് ഒരു നിർദ്ദിഷ്ട രാജ്യത്തുനിന്ന് വരുന്നതായി തോന്നണം, അല്ലെങ്കിൽ രണ്ട് സ്വകാര്യ നെറ്റ്വർക്കുകൾ ഒരേ സമയം എത്തിച്ചേരാവുന്നതാകണം. രണ്ട് സാഹചര്യങ്ങളിലും പുറത്തെ ടണൽ ഉള്ളിലെ ക്ലയന്റിന്റെ സ്വന്തം കണക്ഷൻ വഹിക്കണം.

രണ്ട് ക്ലയന്റുകൾ ഏതെങ്കിലും ക്രമത്തിൽ ആരംഭിച്ചാൽ അത് സംഭവിക്കുന്നില്ല. റൂട്ടിംഗ് അത് ചെയ്യുന്നു.

രണ്ട് സാധ്യമായ ക്രമങ്ങൾ താരതമ്യം ചെയ്യുക

പുറത്തെ പാളിയായി പൊതു ഇന്റർനെറ്റിൽനിന്ന് എത്തിച്ചേരാവുന്ന എന്റ്പോയിന്റുള്ള ടണൽ തിരഞ്ഞെടുക്കുക. ഉള്ളിലെ പാളി എന്നത് അതിന്റെ സെർവർ ആ പുറത്തേക്കുള്ള വഴിയിലൂടെ മാത്രം മറുപടി നൽകുന്ന ടണലാണ്. Windows-ൽ പ്രായോഗിക വിഭജനം പുറത്ത് WireGuard, ഉള്ളിൽ കോർപ്പറേറ്റ് ക്ലയന്റ് എന്നതാണ്. നിർണ്ണായക ഘടകം നിയന്ത്രണമാണ്.

ഔദ്യോഗിക WireGuard ക്ലയന്റ് റൂട്ടുകളും DNS-ഉം ഉൾപ്പെടെ പൂർണ്ണ കോൺഫിഗറേഷൻ ഫയൽ പ്രയോഗിക്കുന്നു. വാണിജ്യ കോർപ്പറേറ്റ് ക്ലയന്റുകൾ സാധാരണയായി രണ്ടും മറയ്ക്കുന്നു. മറഞ്ഞ ക്ലയന്റ് പുറത്ത് വയ്ക്കുന്നത് അതിനടിയിലെ വഴിയെക്കുറിച്ച് ഊഹിക്കാൻ നിങ്ങളെ വിടുന്നു.

വിപരീത ക്രമം അസാധ്യമല്ല. അതിനെക്കുറിച്ച് ചിന്തിക്കാൻ കൂടുതൽ ബുദ്ധിമുട്ടാണ്, കാരണം പുറത്തെ ക്ലയന്റ് നിങ്ങൾ ഒരിക്കലും കാണാത്ത ഒരു ഷെഡ്യൂൾ അനുസരിച്ച് റൂട്ടുകൾ വീണ്ടും എഴുതുന്നു.

AllowedIPs കോർപ്പറേറ്റ് ശ്രേണിയെ മാത്രം പേരിടട്ടെ

AllowedIPs WireGuard ടണലിലേക്ക് റൂട്ട് ചെയ്യുന്ന ലക്ഷ്യസ്ഥാനങ്ങൾ പട്ടികപ്പെടുത്തുന്നു. ഒന്നിനുള്ളിൽ മറ്റൊന്നായി വയ്ക്കാൻ അതിന് ഉള്ളിലെ സെർവറിന്റെ വിലാസവും കോർപ്പറേറ്റ് പ്രിഫിക്സുകളും മാത്രം മതി. ബാക്കിയെല്ലാം പ്രാദേശിക നെറ്റ്വർക്കിൽത്തന്നെ നിൽക്കുന്നു, പ്രിന്ററുകളും ഹൈപ്പർവൈസറും ഉൾപ്പെടെ. ഇത് രൂപകൽപ്പനപ്രകാരം തന്നെ വിഭജിത ടണലാണ്, ഒപ്പം ഒഴിവാക്കൽ പ്രശ്നം പൂർണ്ണമായി ഒഴിവാക്കുന്നു.

പൂർണ്ണ ടണലുള്ള പുറത്തെ പാളിക്ക് ആവശ്യമാണ് 0.0.0.0/0 പ്രാദേശിക ശ്രേണികൾ ഒഴിവാക്കിയുള്ളത്. ഫോർമാറ്റിന് ഒഴിവാക്കൽ പ്രകടിപ്പിക്കാനാവില്ല, അതിനാൽ പൂരകം കണക്കാക്കി ഒട്ടിക്കേണ്ടിവരും.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

ഉള്ളിലെ ക്ലയന്റ് സ്വന്തം റൂട്ടുകൾ ഇൻസ്റ്റാൾ ചെയ്യുന്നില്ലെങ്കിൽ, കോർപ്പറേറ്റ് പ്രിഫിക്സുകൾ സ്വയം പട്ടികപ്പെടുത്തുക. ആ വരിയിൽനിന്ന് വിട്ടുപോകുന്ന പ്രിഫിക്സ് പുറത്തെ ടണൽ ഒരിക്കലും വഹിക്കാത്ത ലക്ഷ്യസ്ഥാനമാണ്. പട്ടികയുടെ പഴയ പകർപ്പ് ഇല്ലാത്തതിനേക്കാൾ മോശമാണ്, കാരണം അത് ഇപ്പോഴും ശരിയായി തോന്നുന്നു.

ക്രമം, മെട്രിക്കുകൾ, രണ്ടാമത്തെ അഡാപ്റ്റർ

ആദ്യം പുറത്തെ ടണലുമായി ബന്ധിപ്പിക്കുക, പിന്നീട് കോർപ്പറേറ്റ് ക്ലയന്റ് ആരംഭിക്കുക. അപ്പോൾ അതിന്റെ എന്റ്പോയിന്റ് കണക്ഷൻ പ്രാദേശിക ഗേറ്റ്വേയ്ക്ക് പകരം WireGuard വഴി പുറത്തുപോകുന്നു. കോർപ്പറേറ്റ് ഇന്റർഫേസിന് കുറഞ്ഞ മെട്രിക് നൽകുക, അതിന്റെ പ്രിഫിക്സുകൾ അതിന്റെ ഉടമസ്ഥതയിലുള്ള വിലാസങ്ങൾക്ക് വിജയിക്കാൻ.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

മെട്രിക്കുകൾ ആളുകൾ ഒഴിവാക്കുന്ന ഘട്ടമാണ്. ക്രമമില്ലെങ്കിൽ, ഓവർലാപ്പ് ചെയ്യുന്ന പ്രിഫിക്സിന് അവസാനം ഇൻസ്റ്റാൾ ചെയ്ത റൂട്ട് വിജയിക്കുന്നു. ഇത് ബൂട്ടുകൾക്കിടയിൽ മാറുന്നു, അതുകൊണ്ടാണ് പ്രശ്നം ഇടയ്ക്കിടെ വരുന്നതായി തോന്നുന്നത്.

OpenVPN 2.6-ൽ നിർമ്മിച്ച ക്ലയന്റുകൾ സ്വന്തം കെണി ചേർക്കുന്നു. ഡാറ്റാ ചാനൽ ഓഫ്ലോഡ് അഡാപ്റ്റർ ഇതിനകം ഉപയോഗത്തിലാണെങ്കിൽ, രണ്ടാമത്തെ ഇൻസ്റ്റൻസ് ആരംഭിക്കാൻ വിസമ്മതിക്കുന്നു. പ്രൊഫൈലിൽ disable-dco ചേർത്താൽ പഴയ TAP വഴിയിലേക്ക് മടങ്ങുന്നു, അപ്പോൾ രണ്ടും ഒരുമിച്ച് പ്രവർത്തിക്കുന്നു.

നെസ്റ്റഡ് വഴി എവിടെ തകരുന്നു

പുറത്തെ ടണൽ വിച്ഛേദിച്ചാൽ ഉള്ളിലെയതും നശിക്കുന്നു. ഉള്ളിലെ ക്ലയന്റ് മാത്രം വീണ്ടും ബന്ധിപ്പിച്ചാൽ അത് പലപ്പോഴും നേരെ ഇന്റർനെറ്റിലേക്ക് പോകുകയും നിശ്ശബ്ദമായി നെസ്റ്റിംഗ് നീക്കം ചെയ്യുകയും ചെയ്യുന്നു. ഓരോ തവണയും രണ്ട് ടണലുകളും നിർത്തി ക്രമം പൂജ്യത്തിൽനിന്ന് പരീക്ഷിക്കുക.

ചെറിയ ഉപയോഗയോഗ്യമായ MTU പ്രതീക്ഷിക്കുക. ഓരോ പാളിയും അധിക ഭാരം ചേർക്കുന്നു, അതിനാൽ 1420, 1400 എന്നിവയ്ക്ക് ചുറ്റുമുള്ള ഒരു തുടക്ക ജോഡി ആരംഭിക്കാൻ നല്ലയിടമാണ്. വലിയ പാക്കറ്റുകളിൽ തടസ്സപ്പെടുകയും ചെറിയ അഭ്യർത്ഥനകൾ വിജയിക്കുകയും ചെയ്യുന്ന കൈമാറ്റമാണ് സാധാരണ ലക്ഷണം. കോർപ്പറേറ്റ് നയമാണ് മറ്റൊരു പരിധി, കാരണം മാനേജുചെയ്ത ഉപകരണം ആവശ്യപ്പെടുന്ന ക്ലയന്റ് നെസ്റ്റഡ് വഴിയെ ലംഘനമായി കാണാം.

രണ്ട് അറ്റങ്ങളും സ്ഥിര നെറ്റ്വർക്കുകളാണെങ്കിൽ, ഗേറ്റ്വേകൾക്കിടയിലുള്ള സൈറ്റ്-ടു-സൈറ്റ് ടണൽ ക്രമപ്രശ്നം കൈകാര്യം ചെയ്യുന്നതിനുപകരം ഒഴിവാക്കുന്നു. ഒരു ലാപ്ടോപ്പിൽ, ഓരോന്നിനും സ്വന്തം ഇന്റർഫേസും പ്രിഫിക്സ് അനുസരിച്ച് ലക്ഷ്യങ്ങൾ തിരഞ്ഞെടുക്കുന്ന നിയമവുമുണ്ടെങ്കിൽ മാത്രമേ രണ്ട് ടണലുകൾ ഒരുമിച്ച് നിൽക്കൂ.