WireGuard доторх корпорацийн VPN: аль давхарга эхэлж ажиллах вэ?

Хөгжүүлэгчийн зөөврийн компьютер дээр туннелийг нэг нэгнийх нь дотор байрлуулах хоёр үндэслэлтэй шалтгаан бий. Нэг бол корпорацийн клиент тодорхой улсаас ирж байгаа мэт харагдах ёстой, эсвэл хоёр хувийн сүлжээг нэгэн зэрэг хандах боломжтой байх ёстой. Хоёр тохиолдолд гадаад туннель дотоод клиентийн өөрийн холболтыг зөөх ёстой.

Хоёр клиентийг ямар ч дарааллаар эхлүүлэх нь үүнийг өгөхгүй. Маршрутлалт үүнийг өгдөг.

Боломжтой хоёр дарааллыг харьцуул

Гадаад давхаргаар нийтийн интернэтээс төгсгөлийн цэгт нь хандах боломжтой туннелийг сонго. Дотоод давхарга нь сервер нь зөвхөн тэр гарцаар хариу үйлдэл хийдэг туннель юм. Windows дээр практик хуваарилалт нь гадаа WireGuard, дотор корпорацийн клиент байна. Шийдвэрлэх хүчин зүйл бол хяналт.

Албан ёсны WireGuard клиент нь маршрут болон DNS багтсан бүрэн тохиргооны файлыг хэрэглэдэг. Арилжааны корпорацийн клиентүүд ихэвчлэн хоёуланг нь нуудаг. Нуугдмал клиентийг гадна байрлуулах нь түүний доорх замыг таахыг шаарддаг.

Эсрэг дараалал боломжгүй зүйл биш. Зүгээр л түүний талаар бодоход хэцүү, учир нь гадаад клиент таны хэзээ ч хардаггүй хуваарийн дагуу маршрутыг дахин бичдэг.

AllowedIPs зөвхөн корпорацийн хүрээг нэрлэх болтугай

AllowedIPs WireGuard туннель рүү чиглүүлдэг очих газруудыг жагсаана. Дотор нь байрлуулахад түүнд дотоод серверийн хаяг болон корпорацийн префиксүүд л хэрэгтэй. Бусад бүх зүйл локал сүлжээнд үлдэнэ, принтер болон хийпервайзерыг оруулаад. Энэ нь зохион бүтээлээрээ хуваагдсан туннель бөгөөд хасалтын асуудлаас бүрэн зайлсхийдэг.

Бүрэн туннельтай гадаад давхаргад хэрэгтэй 0.0.0.0/0 хасах локал хүрээнүүд. Формат нь хасалтыг илэрхийлж чадахгүй, тиймээс нөхөхийг тооцоолж, нааж өгөх шаардлагатай.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Дотоод клиент өөрийн маршрутыг суулгахгүй бол корпорацийн префиксүүдийг өөрөө жагсаа. Тэр мөрөөс орхигдсон префикс нь гадаад туннель хэзээ ч зөөдэггүй очих газар юм. Жагсаалтын хуучирсан хуулбар байхгүйгээс ч дор, учир нь тэр одоо ч зөв харагдана.

Дараалал, хэмжүүр ба хоёр дахь адаптер

Эхлээд гадаад туннельд холбогдож, дараа нь корпорацийн клиентийг эхлүүл. Тэгвэл түүний төгсгөлийн цэгийн холболт локал гарцын оронд WireGuard-аар гарна. Корпорацийн интерфейст бага хэмжүүр өг, ингэснээр түүний префиксүүд өөрийн эзэмшдэг хаягуудад ялна.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

Хэмжүүр бол хүмүүсийн алгасдаг алхам. Дараалалгүй бол давхцаж буй префикст хамгийн сүүлд суулгасан маршрут ялна. Энэ нь ачаалалтын хооронд өөрчлөгддөг, тиймээс асуудал үе үе мэт санагддаг.

OpenVPN 2.6 дээр баригдсан клиентүүд өөрсдийн урхи нэмдэг. Өгөгдлийн сувгийг буулгах адаптер аль хэдийн завгүй бол хоёр дахь хувилбар эхлэхээс татгалздаг. Профайлд disable-dco нэмэх нь хуучин TAP зам руу буцаж, дараа нь хоёулаа зэрэгцэн ажиллана.

Дотор нь байрлуулсан зам хаана тасрах вэ

Гадаад туннелийг салгах нь дотоодыг нь ална. Зөвхөн дотоод клиентийг дахин холбох нь ихэвчлэн шууд интернэт рүү илгээж, дотор байрлуулалтыг чимээгүй арилгадаг. Дараалалыг тэгээс эхлэн туршиж үз, хоёр туннель зогссон байхад.

Бага ашигтай MTU хүлээ. Давхарга бүр нэмэлт зардал нэмдэг тул 1420 ба 1400 орчмын эхлэл хос тохиромжтой. Том пакетуудад гацаж, жижиг хүсэлтүүд амжилттай болох дамжуулалт нь ердийн шинж юм. Корпорацийн бодлого нь нөгөө хязгаар, учир нь удирдлагатай төхөөрөмж шаарддаг клиент дотор нь байрлуулсан замыг зөрчил гэж үзэж болно.

Хоёр төгсгөл нь тогтмол сүлжээ бол гарцуудын хоорондох сайт-сайт туннель нь дарааллын асуудлыг удирдахын оронд арилгадаг. Нэг зөөврийн компьютер дээр хоёр туннель зөвхөн тус бүр өөрийн интерфейс, префиксээр очих газрыг сонгодог дүрэмтэй үед л хамт оршино.