VPN korporat di dalam WireGuard: lapisan mana yang dahulu?

Terdapat dua sebab wajar untuk menyarangkan terowong pada komputer riba pembangun. Sama ada klien korporat perlu kelihatan datang dari negara tertentu, atau dua rangkaian peribadi perlu boleh dicapai pada masa yang sama. Kedua-dua kes memerlukan terowong luar membawa sambungan klien dalam itu sendiri.

Memulakan dua klien dalam apa jua urutan tidak menghasilkan itu. Penghalaan yang menghasilkannya.

Bandingkan dua urutan yang mungkin

Pilih lapisan luar sebagai terowong yang titik akhirnya boleh dicapai dari internet awam. Lapisan dalam ialah terowong yang pelayannya hanya menjawab melalui jalan keluar itu. Pada Windows pembahagian praktikal ialah WireGuard di luar dan klien korporat di dalam. Faktor penentunya ialah kawalan.

Klien WireGuard rasmi menggunakan fail konfigurasi lengkap, termasuk laluan dan DNS. Klien korporat komersial biasanya menyembunyikan kedua-duanya. Meletakkan klien tersembunyi di luar membuat anda meneka laluan di bawahnya.

Urutan terbalik bukan mustahil. Ia hanya lebih sukar difikirkan, kerana klien luar menulis semula laluan mengikut jadual yang tidak pernah anda lihat.

Biarkan AllowedIPs menamakan julat korporat sahaja

AllowedIPs menyenaraikan destinasi yang dihalakan WireGuard ke dalam terowong. Untuk penyarangan ia hanya memerlukan alamat pelayan dalam dan awalan korporat. Semua yang lain kekal di rangkaian tempatan, termasuk pencetak dan hypervisor. Ini terowong terpisah secara reka bentuk, dan ia mengelakkan masalah pengecualian sepenuhnya.

Lapisan luar terowong penuh memerlukan 0.0.0.0/0 tolak julat tempatan. Format tidak boleh menyatakan pengecualian, jadi pelengkapnya mesti dikira dan ditampal.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Apabila klien dalam tidak memasang laluannya sendiri, senaraikan awalan korporat sendiri. Awalan yang tertinggal daripada baris itu ialah destinasi yang tidak pernah dibawa terowong luar. Salinan senarai yang lapuk lebih buruk daripada tiada, kerana ia masih kelihatan betul.

Urutan, metrik dan penyesuai kedua

Sambungkan terowong luar dahulu, kemudian mulakan klien korporat. Kemudian sambungan titik akhirnya keluar melalui WireGuard bukan get laluan tempatan. Beri antara muka korporat metrik lebih rendah supaya awalannya menang untuk alamat yang dimilikinya.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

Metrik ialah langkah yang orang terlepas pandang. Tanpa urutan, laluan yang dipasang terakhir menang untuk awalan yang bertindih. Itu berubah antara but, sebab itulah masalah kelihatan berselang-seli.

Klien yang dibina atas OpenVPN 2.6 menambah perangkap mereka sendiri. Apabila penyesuai offload saluran data sudah digunakan, instans kedua menolak untuk bermula. Menambah disable-dco pada profil kembali ke laluan TAP yang lebih lama, dan kemudian kedua-duanya berjalan bersebelahan.

Di mana laluan bersarang terputus

Memutuskan terowong luar membunuh yang dalam. Menyambung semula hanya klien dalam sering menghantarnya terus ke internet dan diam-diam membuang penyarangan. Uji urutan dari awal setiap kali, dengan kedua-dua terowong dihentikan.

Jangkakan MTU berguna yang lebih kecil. Setiap lapisan menambah overhed, jadi pasangan permulaan sekitar 1420 dan 1400 ialah tempat untuk bermula. Pemindahan yang tersekat pada paket besar sementara permintaan kecil berjaya ialah tanda biasa. Dasar korporat ialah had yang lain, kerana klien yang mahukan peranti terurus boleh menganggap laluan bersarang sebagai pelanggaran.

Apabila kedua-dua hujung ialah rangkaian tetap, terowong tapak-ke-tapak antara get laluan menghapuskan masalah urutan bukan mengurusnya. Pada satu komputer riba, dua terowong hanya wujud bersama apabila setiap satu mempunyai antara muka sendiri dan peraturan yang memilih destinasi mengikut awalan.