Iċ-ċentinar ta' żewġ VPN: x'jaħbi u x'jiswa

Żewġ tunnelli mdaħħla f'xulxin ma jagħmlukx anonimu. Huma jaqsmu l-osservazzjonijiet bejn żewġ fornituri, sabiex ebda wieħed minnhom ma jara flimkien l-indirizz ta' darek u d-destinazzjoni tiegħek. Dan huwa benefiċċju reali iżda dejjaq, u jiġi bi problemi ta' routing, DNS u MTU li jidhru l-ewwel darba li tiddependi fuqu.

1. Iddeċiedi għal xiex inhu t-tieni qabża

Ikteb il-mira f'sentenza waħda qabel ma tikkonfigura xejn. Jekk il-mira hija li l-ISP tiegħek ma jarax liema siti żżur, tunnell wieħed jiksibha. Jekk il-mira hija li ebda fornitur wieħed ma jista' jgħaqqad l-indirizz tiegħek mat-traffiku tiegħek, tnejn jagħmlu dan. Jekk il-mira hija li ħadd ma jista' jidentifika lilek, ebda numru ta' qabżiet ma jasal hemm.

Il-katina hija biss b'saħħitha daqs il-logs tal-fornitur l-aktar dgħajjef u r-rekords tal-kont li żżomm it-tnejn. Il-pagamenti, l-email tar-reġistrazzjoni u t-telemetrija tal-app jinsabu għal kollox barra mit-tunnell.

2. Agħmel it-tarf ta' ġewwa aċċessibbli mit-tunnell ta' barra

Il-falliment tas-soltu huwa li t-tunnell ta' ġewwa qatt ma jiġi stabbilit. Konnessjoni ta' barra b'tunnell sħiħ għandha r-rotta default, għalhekk l-attentat tal-klijent ta' ġewwa biex jasal għat-tarf tiegħu stess jinbela' mit-tunnell ta' barra u jiġi mwarrab jew jiddaħħal fi loop. It-tarf ta' ġewwa jeħtieġ rotta espliċita permezz tal-interface ta' barra, installata qabel ma jibda l-klijent ta' ġewwa. Inkella l-handshake jiġri kontra r-rotta u jitlef.

WireGuard juri l-istess konflitt mid-direzzjoni l-oħra. Il-AllowedIPs ta' kull peer jiddeċiedi liema destinazzjonijiet jidħlu f'dak it-tunnell, għalhekk interface ta' ġewwa li tallega kull indirizz tallega wkoll it-tarf ta' barra, sakemm ma jirbaħx rotta aktar speċifika. L-overlap ta' AllowedIPs fuq żewġ interfaces huwa konfigurazzjoni fejn naħa waħda titlef bil-kwiet.

Il-katina tal-kontejners tagħmel is-separazzjoni espliċita u n-nassa ovvja. Kontenitur b'namespace tiegħu stess, b'rotta default tiegħu stess u b'klijent ġewwa fih jgħaddi 'l quddiem dak li jibgħatlu l-host; il-host innifsu ma jibdiex juża dik il-mogħdija. Ixgħel il-forwarding, żid rotta għat-tunnell tal-kontenitur u dderieġi s-servizz lejn l-indirizz tal-kontenitur.

3. Żomm id-DNS fuq l-istess mogħdija

Id-DNS irid jivvjaġġa fejn jivvjaġġa t-traffiku. Jekk il-fornitur ta' ġewwa jforni resolvers u l-host għadu jistaqsi lil dawk lokali, dawk it-tfittxijiet jiżvelaw eżattament is-siti li t-tunnell kellu jaħbi. Iċċekkja b'qabda fuq kull interface tat-tunnell minflok ma tafda l-pannell tal-istat tal-klijent. Tnixxija hawn tkun inviżibbli waqt il-browsing normali u ovvja fi qabda.

Id-disinji tad-DNS maqsum jagħmlu dan iktar diffiċli, għax mistoqsija għal isem lokali tista' leġittimament tappartjeni barra mit-tunnell. Ikteb il-lista tal-eċċezzjonijiet b'apposta minflok ma tiskopriha skont liema resolver wieġeb b'kumbinazzjoni.

4. Issettja l-MTU qabel l-utenti jiskopruha minflokek

L-MTU hija l-vittma l-oħra prevedibbli. Żewġ inkapsulamenti jnaqqsu żewġ headers, u tunnell ta' barra li diġà naqqas l-MTU tal-mogħdija jħalli inqas spazju ġewwa. Is-sintomi huma familjari: talbiet żgħar jgħaddu, trasferimenti kbar u handshakes TLS jieqfu.

ip link set dev wg1 mtu 1280 hija l-mekkaniżmu goff, u l-illimitar tal-MSS fuq il-forwarder huwa dak aktar pulit. Li terġa' tipprova l-konnessjoni mhix mekkaniżmu xejn.

5. Ipprova l-falliment li se jkollok tassew

Aqta' t-tunnell ta' barra apposta u ara x'jiġri. Katina li taqa' bil-kwiet fuq mogħdija diretta meta jmut il-qabża ta' barra hija agħar minn ebda katina, għax tnixxi eżatt fil-mument li kont temmen li kont kopert. L-imġieba li għandek timmira għaliha hija kill switch li jwaqqaf it-traffiku kollu. Irreġistra r-riżultat, għax ma tkunx trid terġa' tiskoprih f'nofs inċident.

Il-latenza u t-tieni punt ta' falliment huma l-ispejjeż permanenti. Żewġ qabżiet ifissru wkoll żewġ fillieri ta' appoġġ meta xi ħaġa tinqasam f'siegħa mhux konvenjenti.