WireGuard च्या आत कॉर्पोरेट VPN: कोणता स्तर आधी येतो?

विकसकाच्या लॅपटॉपवर टनेल एकमेकांच्या आत ठेवण्याची दोन वाजवी कारणे आहेत. एकतर कॉर्पोरेट क्लायंट एखाद्या विशिष्ट देशातून येत असल्यासारखा दिसला पाहिजे, किंवा दोन खाजगी नेटवर्क एकाच वेळी पोहोचण्यायोग्य असली पाहिजेत. दोन्ही बाबतीत बाहेरील टनेलने आतल्या क्लायंटचे स्वतःचे कनेक्शन वाहिले पाहिजे.

दोन क्लायंट कोणत्याही क्रमाने सुरू केल्याने ते होत नाही. ते राउटिंगमुळे होते.

दोन संभाव्य क्रमांची तुलना करा

बाहेरील स्तर म्हणून ज्या टनेलचा एंडपॉइंट सार्वजनिक इंटरनेटवरून पोहोचण्यायोग्य आहे ती निवडा. आतला स्तर म्हणजे ज्याचा सर्व्हर केवळ त्या बाहेर जाण्याच्या मार्गानेच उत्तर देतो ती टनेल. Windows वर व्यावहारिक विभागणी म्हणजे बाहेर WireGuard आणि आत कॉर्पोरेट क्लायंट. निर्णायक घटक म्हणजे नियंत्रण.

अधिकृत WireGuard क्लायंट रूट्स आणि DNS सह संपूर्ण कॉन्फिगरेशन फाइल लागू करतो. व्यावसायिक कॉर्पोरेट क्लायंट सहसा दोन्ही लपवतात. लपलेला क्लायंट बाहेर ठेवल्यास त्याखालील मार्गाचा अंदाज लावावा लागतो.

उलटा क्रम अशक्य नाही. फक्त त्याचा विचार करणे कठीण आहे, कारण बाहेरील क्लायंट तुम्ही कधीही न पाहिलेल्या वेळापत्रकानुसार रूट्स पुन्हा लिहितो.

AllowedIPs ला केवळ कॉर्पोरेट श्रेणीचे नाव देऊ द्या

AllowedIPs WireGuard टनेलमध्ये पाठवत असलेल्या गंतव्यांची यादी करतो. आत ठेवण्यासाठी त्याला फक्त आतल्या सर्व्हरचा पत्ता आणि कॉर्पोरेट प्रीफिक्स आवश्यक आहेत. बाकी सर्व स्थानिक नेटवर्कवर राहते, प्रिंटर आणि हायपरवायझरसह. हे रचनेनुसारच विभाजित टनेल आहे, आणि ते वगळण्याची समस्या पूर्णपणे टाळते.

पूर्ण टनेल असलेल्या बाहेरील स्तराला आवश्यक आहे 0.0.0.0/0 वजा स्थानिक श्रेणी. स्वरूप वगळणे व्यक्त करू शकत नाही, म्हणून पूरक मोजून चिकटवावे लागते.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

जेव्हा आतला क्लायंट स्वतःचे रूट्स इन्स्टॉल करत नाही, तेव्हा कॉर्पोरेट प्रीफिक्स स्वतःच सूचीबद्ध करा. त्या ओळीतून राहिलेला प्रीफिक्स हे बाहेरील टनेल कधीही न वाहणारे गंतव्य आहे. यादीची जुनी प्रत नसण्यापेक्षा वाईट आहे, कारण ती अजूनही बरोबर दिसते.

क्रम, मेट्रिक्स आणि दुसरा अडॅप्टर

आधी बाहेरील टनेलशी जोडा, नंतर कॉर्पोरेट क्लायंट सुरू करा. मग त्याचे एंडपॉइंट कनेक्शन स्थानिक गेटवेऐवजी WireGuard मधून बाहेर पडते. कॉर्पोरेट इंटरफेसला कमी मेट्रिक द्या जेणेकरून त्याचे प्रीफिक्स त्याच्या मालकीच्या पत्त्यांसाठी जिंकतील.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

मेट्रिक्स हे लोक वगळत असलेले पाऊल आहे. क्रम नसल्यास, ओव्हरलॅप होणाऱ्या प्रीफिक्ससाठी शेवटी इन्स्टॉल झालेला रूट जिंकतो. हे बूटदरम्यान बदलते, म्हणून समस्या मधूनमधून येणारी वाटते.

OpenVPN 2.6 वर बांधलेले क्लायंट त्यांचे स्वतःचे सापळे जोडतात. डेटा चॅनेल ऑफलोड अडॅप्टर आधीच व्यस्त असल्यास, दुसरे इंस्टन्स सुरू होण्यास नकार देते. प्रोफाइलमध्ये disable-dco जोडल्यास जुन्या TAP मार्गावर परत जाते, आणि मग दोन्ही शेजारी चालतात.

आत ठेवलेला मार्ग कुठे तुटतो

बाहेरील टनेल डिस्कनेक्ट केल्यास आतला मरतो. केवळ आतला क्लायंट पुन्हा जोडल्यास तो अनेकदा थेट इंटरनेटवर जातो आणि शांतपणे आत ठेवणे काढून टाकतो. प्रत्येक वेळी दोन्ही टनेल थांबवून क्रम सुरुवातीपासून तपासा.

लहान उपयुक्त MTU अपेक्षित धरा. प्रत्येक स्तर अधिक भार जोडतो, म्हणून 1420 आणि 1400 च्या आसपासची सुरुवातीची जोडी सुरू करण्यासाठी चांगली जागा आहे. मोठ्या पॅकेटवर अडकणे पण लहान विनंत्या यशस्वी होणे हे नेहमीचे लक्षण आहे. कॉर्पोरेट धोरण ही दुसरी मर्यादा आहे, कारण व्यवस्थापित उपकरण मागणारा क्लायंट आत ठेवलेला मार्ग उल्लंघन मानू शकतो.

जेव्हा दोन्ही टोके स्थिर नेटवर्क असतात, तेव्हा गेटवेमधील साइट-टू-साइट टनेल क्रमाची समस्या व्यवस्थापित करण्याऐवजी दूर करते. एका लॅपटॉपवर दोन टनेल केवळ तेव्हाच एकत्र राहतात जेव्हा प्रत्येकाचा स्वतःचा इंटरफेस आणि प्रीफिक्सनुसार गंतव्ये निवडणारा नियम असतो.