Merangkai dua VPN: apa yang disembunyikan dan apa kosnya

Dua terowong bersarang tidak menjadikan anda tanpa nama. Yang mereka lakukan ialah membahagikan pemerhatian antara dua pembekal, jadi tiada satu pun melihat alamat rumah dan destinasi anda sekali gus. Ini faedah yang nyata tetapi sempit, dan ia datang dengan masalah penghalaan, DNS dan MTU yang timbul pertama kali anda bergantung padanya.

1. Tentukan untuk apa lompatan kedua

Tulis matlamat dalam satu ayat sebelum anda mengkonfigurasi apa-apa. Jika matlamatnya ialah ISP anda tidak dapat melihat laman mana yang anda lawati, satu terowong mencapainya. Jika matlamatnya ialah tiada satu pembekal pun dapat mengaitkan alamat anda dengan trafik anda, dua terowong melakukannya. Jika matlamatnya ialah tiada sesiapa dapat mengenal pasti anda, berapa banyak lompatan pun tidak sampai ke sana.

Rantai hanya sekuat log pembekal yang lebih lemah dan rekod akaun yang disimpan oleh kedua-duanya. Bayaran, e-mel pendaftaran dan telemetri aplikasi berada sepenuhnya di luar terowong.

2. Jadikan hujung dalam boleh dicapai melalui terowong luar

Kegagalan biasa ialah terowong dalam tidak pernah terbentuk. Sambungan luar terowong penuh memiliki laluan lalai, jadi cubaan klien dalam untuk sampai ke hujungnya sendiri ditelan terowong luar dan digugurkan atau dimasukkan ke dalam gelung. Hujung dalam memerlukan laluan eksplisit melalui antara muka luar, dipasang sebelum klien dalam bermula. Jika tidak, jabat tangan berlumba dengan laluan dan kalah.

WireGuard menunjukkan konflik yang sama dari arah lain. AllowedIPs setiap peer menentukan destinasi mana yang masuk ke terowong itu, jadi antara muka dalam yang menuntut setiap alamat juga menuntut hujung luar, melainkan laluan yang lebih khusus menang. Pertindihan AllowedIPs merentas dua antara muka ialah konfigurasi yang mana satu pihak kalah secara senyap.

Rangkaian kontena menjadikan pemisahan itu eksplisit dan perangkapnya jelas. Kontena dengan ruang nama sendiri, laluan lalai sendiri dan klien di dalamnya memajukan apa yang dihantar oleh hos kepadanya; hos tidak mula menggunakan laluan itu dengan sendirinya. Dayakan pemajuan, tambah laluan untuk terowong kontena dan halakan perkhidmatan ke alamat kontena.

3. Kekalkan DNS pada laluan yang sama

DNS mesti bergerak ke tempat trafik bergerak. Jika pembekal dalam menolak penyelesai dan hos masih bertanya kepada yang tempatan, carian itu mendedahkan tepat laman yang sepatutnya disembunyikan oleh terowong. Semak dengan tangkapan pada setiap antara muka terowong dan bukan mempercayai panel status klien. Kebocoran di sini tidak kelihatan semasa pelayaran biasa dan jelas dalam tangkapan.

Reka bentuk DNS terbelah menjadikan ini lebih sukar, kerana pertanyaan untuk nama tempatan boleh secara sah tergolong di luar terowong. Tulis senarai pengecualian dengan sengaja dan bukan menemuinya berdasarkan penyelesai mana yang kebetulan menjawab.

4. Tetapkan MTU sebelum pengguna mengetahuinya untuk anda

MTU ialah mangsa lain yang boleh diramal. Dua enkapsulasi menolak dua pengepala, dan terowong luar yang sudah menurunkan MTU laluan meninggalkan kurang ruang di dalam. Gejalanya biasa: permintaan kecil berjaya, pemindahan besar dan jabat tangan TLS tersekat.

ip link set dev wg1 mtu 1280 ialah pembetulan kasar, dan mengehadkan MSS pada pemaju ialah yang lebih kemas. Mencuba semula sambungan sama sekali bukan pembetulan.

5. Uji kegagalan yang sebenarnya akan anda dapat

Putuskan terowong luar dengan sengaja dan lihat apa yang berlaku. Rantai yang jatuh secara senyap ke laluan langsung apabila lompatan luar mati adalah lebih buruk daripada tiada rantai, kerana ia bocor tepat pada saat anda percaya anda dilindungi. Tingkah laku yang disasarkan ialah suis pembunuh yang menghentikan semua trafik. Catat hasilnya, kerana anda tidak akan mahu menemukannya semula di tengah-tengah insiden.

Kependaman dan titik kegagalan kedua ialah kos tetap. Dua lompatan juga bermakna dua baris giliran sokongan apabila sesuatu rosak pada waktu yang tidak sesuai.