VPN korporattiva ġewwa WireGuard: liema saff jiġi l-ewwel?

Żewġ klijenti fuq magna waħda jaħdmu biss meta l-mina ta' barra ġġorr il-konnessjoni tal-klijent ta' ġewwa nnifsu u l-metriċi jagħżlu l-interface t-tajba għal kull prefiss.

Hemm żewġ raġunijiet leġittimi biex toqgħod tunelli wieħed ġewwa l-ieħor fuq laptop ta' żviluppatur. Jew il-klijent korporattiv irid jidher li ġej minn pajjiż partikolari, jew żewġ networks privati jridu jkunu aċċessibbli fl-istess ħin. Iż-żewġ każijiet jeħtieġu li l-mina ta' barra ġġorr il-konnessjoni tal-klijent ta' ġewwa nnifsu.

Li tibda żewġ klijenti fi kwalunkwe ordni ma jagħmilx dan. Ir-routing jagħmilha.

Qabbel iż-żewġ ordnijiet possibbli

Agħżel is-saff ta' barra bħala l-mina li l-punt aħħari tagħha jista' jintlaħaq mill-internet pubbliku. Is-saff ta' ġewwa hija l-mina li s-server tagħha jwieġeb biss permezz ta' dik il-ħruġ. Fuq Windows il-qsim prattiku huwa WireGuard barra u l-klijent korporattiv ġewwa. Il-fattur deċiżiv huwa l-kontroll.

Il-klijent uffiċjali ta' WireGuard japplika fajl ta' konfigurazzjoni sħiħ, inklużi rotot u DNS. Il-klijenti korporattivi kummerċjali normalment jaħbu t-tnejn. Jekk tpoġġi klijent moħbi barra, tibqa' tiddeduci t-triq taħtu.

L-ordni maqluba mhix impossibbli. Hija biss aktar diffiċli biex tirraġuna dwarha, għax il-klijent ta' barra jerġa' jikteb ir-rotot skont skeda li qatt ma tara.

Ħalli lil AllowedIPs jismu biss il-firxa korporattiva

AllowedIPs jelenka d-destinazzjonijiet li WireGuard idawwar fil-mina. Għall-inkapsulament għandu bżonn biss l-indirizz tas-server ta' ġewwa u l-prefissi korporattivi. Kull ħaġa oħra tibqa' fuq in-netwerk lokali, inklużi stampaturi u hypervisor. Dan huwa mina maqsuma mid-disinn, u jevita għal kollox il-problema tal-esklużjoni.

Saff ta' barra b'mina sħiħa għandu bżonn 0.0.0.0/0 nieqes il-firxiet lokali. Il-format ma jistax jesprimi esklużjoni, għalhekk il-komplement irid jiġi kkalkulat u mwaħħal.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Meta l-klijent ta' ġewwa ma jinstallax ir-rotot tiegħu stess, elenka l-prefissi korporattivi int stess. Prefiss li jitħalla barra minn dik il-linja huwa destinazzjoni li l-mina ta' barra qatt ma ġġorr. Kopja skaduta tal-lista hija agħar minn xejn, għax għadha tidher korretta.

Ordni, metriċi u t-tieni adapter

Qabbad il-mina ta' barra l-ewwel, imbagħad ibda l-klijent korporattiv. Imbagħad il-konnessjoni tal-punt aħħari tiegħu toħroġ permezz ta' WireGuard minflok il-gateway lokali. Agħti lill-interface korporattiva metrika aktar baxxa sabiex il-prefissi tagħha jirbħu għall-indirizzi li tippossjedi.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

Il-metriċi huma l-pass li n-nies jaqbżu. Mingħajr ordni, għall-prefiss li jidher fuq ieħor tirbaħ ir-rotta installata l-aħħar. Dan jinbidel bejn boots, u għalhekk il-problema tidher intermittenti.

Il-klijenti mibnija fuq OpenVPN 2.6 iżidu nassa tagħhom. Meta l-adapter tal-offload tal-kanal tad-data diġà jkun okkupat, it-tieni istanza sempliċement tirrifjuta tibda. Iż-żieda ta' disable-dco mal-profil terġa' lura għat-triq TAP eqdem, u mbagħad it-tnejn jaħdmu spalla ma' spalla.

Fejn tinqasam it-triq inkapsulata

L-iskonnessjoni tal-mina ta' barra toqtol dik ta' ġewwa. Li terġa' tqabbad biss il-klijent ta' ġewwa spiss tibgħatha dritt fuq l-internet u tneħħi l-inkapsulament bil-kwiet. Iċċekkja s-sekwenza mill-bidu kull darba, b'żewġ tunelli waqfa.

Stenna MTU utli iżgħar. Kull saff iżid spejjeż, għalhekk par tal-bidu madwar 1420 u 1400 huwa post minn fejn tibda. Trasferiment li jieqaf fuq pakketti kbar waqt li talbiet żgħar jirnexxu huwa s-sinjal tas-soltu. Il-politika korporattiva hija l-limitu l-ieħor, għax klijent li jrid apparat ġestit jista' jqis triq inkapsulata bħala ksur.

Meta ż-żewġ trufijiet huma networks fissi, mina minn sit għal sit bejn il-gateways tneħħi l-problema tal-ordni minflok ma tamministraha. Fuq laptop wieħed, żewġ tunelli jikkoeżistu biss meta kull wieħed ikollu l-interface tiegħu u regola li tagħżel destinazzjonijiet skont il-prefiss.

Artikli relatati