Хоёр VPN-ийг гинжлэх: юу нуух, юунд хүрэх вэ

Хоёр үүрлэсэн туннель таныг нэргүй болгохгүй. Тэд ажиглалтыг хоёр нийлүүлэгчийн хооронд хуваадаг, тиймээс аль нь ч таны гэрийн хаяг, очих газрыг хамт хардаггүй. Энэ бол бодит боловч нарийн ашиг бөгөөд үүнтэй хамт анх удаа найдах үед илэрдэг чиглүүлэлт, DNS, MTU-ийн асуудал ирдэг.

1. Хоёр дахь үсрэлт юунд хэрэгтэйг шийдээрэй

Ямар нэг зүйлийг тохируулахаас өмнө зорилгыг нэг өгүүлбэрээр бичээрэй. Зорилго нь таны ISP ямар сайт үзэж байгааг харж чадахгүй байх бол нэг туннель хангана. Зорилго нь ганц ч нийлүүлэгч таны хаягийг траффиктой холбож чадахгүй байх бол хоёр туннель хийнэ. Зорилго нь хэн ч таныг таньж чадахгүй байх бол хэчнээн үсрэлт байсан ч тэнд хүрэхгүй.

Гинж нь сул нийлүүлэгчийн лог болон хоёулаа хадгалдаг бүртгэлийн бичлэг шиг л бат бөх. Төлбөр, бүртгэлийн имэйл, аппын телеметр нь туннелиас бүрэн гадна байдаг.

2. Дотоод төгсгөлийг гадаад туннелээр хүртээмжтэй болго

Ердийн бүтэлгүйтэл нь дотоод туннель огт тогтохгүй байх явдал. Бүрэн туннель бүхий гадаад холболт үндсэн замыг эзэмшдэг тул дотоод клиентийн өөрийн төгсгөлд хүрэх оролдлогыг гадаад туннель залгиж, хаядаг эсвэл давталтад оруулдаг. Дотоод төгсгөлд гадаад интерфэйсээр дамжсан тодорхой зам хэрэгтэй бөгөөд үүнийг дотоод клиент эхлэхээс өмнө суулгах ёстой. Эс бөгөөс гар барилт замтай уралдаж ялагдана.

WireGuard ижил зөрчилдөөнийг нөгөө талаас харуулна. Peer бүрийн AllowedIPs аль очих газар тэр туннельд ордогийг тодорхойлдог тул бүх хаягийг шаардсан дотоод интерфэйс илүү тодорхой зам ялаагүй бол гадаад төгсгөлийг ч шаардана. Хоёр интерфэйс дээрх AllowedIPs давхцал нь нэг тал чимээгүй ялагддаг тохиргоо юм.

Контейнер гинжлэл нь тусгаарлалтыг тодорхой, урхийг илэрхий болгоно. Өөрийн нэрний орон зай, өөрийн үндсэн зам, дотор нь клиенттэй контейнер хост түүнд илгээснийг дамжуулна; хост өөрөө тэр замыг ашиглаж эхлэхгүй. Дамжуулалтыг асааж, контейнерын туннельд зам нэмж, үйлчилгээг контейнерын хаяг руу чиглүүлээрэй.

3. DNS-ийг нэг заманд байлга

DNS нь траффик явдаг газар явна. Дотоод нийлүүлэгч резолвер санал болгож, хост одоо ч локал руу асуувал тэдгээр хайлт нь туннель нуух ёстой байсан сайтуудыг яг илчилнэ. Клиентийн төлөв самбарт итгэхийн оронд туннель интерфэйс бүр дээр барих аргаар шалгаарай. Энд гоожсон зүйл энгийн хөтлөлтөд үл үзэгдэх, харин барилтад тодорхой байна.

Хуваасан DNS загвар үүнийг хэцүү болгоно, учир нь локал нэрийн асуулга хууль ёсоор туннелиас гадна хамаарч болно. Аль резолвер санамсаргүй хариулснаар илрүүлэхийн оронд үл хамаарах жагсаалтыг санаатайгаар бичээрэй.

4. Хэрэглэгчид таны оронд мэдэхээс өмнө MTU-г тохируул

MTU нь дараагийн урьдчилан таамаглах золиос юм. Хоёр инкапсуляц нь хоёр толгойг хасч, замын MTU-г аль хэдийн буулгасан гадаад туннель дотроос бага зай үлдээнэ. Шинж тэмдгүүд танил: жижиг хүсэлтүүд өнгөрч, том дамжуулалт, TLS гар барилт гацна.

ip link set dev wg1 mtu 1280 нь бүдүүлэг засвар бөгөөд дамжуулагч дээр MSS-ийг хязгаарлах нь илүү цэвэрхэн. Холболтыг дахин оролдох нь огт засвар биш.

5. Бодит болох эвдрэлийг туршаарай

Гадаад туннелийг санаатайгаар тасалж, юу болохыг ажиглаарай. Гадаад үсрэлт үхэхэд чимээгүй шууд зам руу унасан гинж нь гинжгүйгээс ч дор, учир нь та хамгаалагдсан гэж итгэсэн яг тэр мөчид гоождог. Зорих зан үйл бол бүх траффикийг зогсоох kill switch юм. Үр дүнг бичиж аваарай, учир нь ослын дунд дахин нээхийг хүсэхгүй.

Хоцролт болон хоёр дахь эвдрэлийн цэг нь байнгын зардал. Хоёр үсрэлт нь тохиромжгүй цагт ямар нэг зүйл эвдэрвэл хоёр дэмжлэгийн дараалал гэсэн үг.