د WireGuard په دننه کې کارپوریټ VPN: کومه طبقه لومړی راځي؟

د پراختیا کوونکي لپ ټاپ کې د تونلونو د یو بل دننه ایښودلو دوه معقول دلیلونه شته. یا باید کارپوریټ کلاینټ د یو ځانګړي هېواد څخه راغلی ښکاره شي، یا باید دوه خصوصي شبکې په یوه وخت کې د لاسرسي وړ وي. دواړه حالتونه غواړي چې بهرنی تونل د داخلي کلاینټ خپله اړیکه وړي.

دوه کلاینټونه په هر ترتیب چې پیل کړې دا نه ترلاسه کېږي. دا د لارښوونې له امله ترلاسه کېږي.

دوه ممکنه ترتیبونه پرتله کړئ

د بهرنۍ طبقې په توګه هغه تونل غوره کړئ چې پای ټکی یې له عامه انټرنیټ څخه د لاسرسي وړ وي. داخلي طبقه هغه تونل دی چې سرور یې یوازې د هماغه وتلو له لارې ځواب ورکوي. په Windows کې عملي وېش بهر WireGuard او دننه کارپوریټ کلاینټ دی. فیصله کوونکی عامل کنټرول دی.

د WireGuard رسمي کلاینټ بشپړ ترتیباتو فایل پلي کوي، چې لارښوونې او DNS هم پکې دي. سوداګریز کارپوریټ کلاینټونه معمولاً دواړه پټوي. پټ کلاینټ بهر ایښودل تاسو ته د لاندې لارې د اټکل کولو لپاره پرېږدي.

برعکس ترتیب ناممکن نه دی. یوازې د هغه په اړه فکر کول ستونزمن دي، ځکه بهرنی کلاینټ لارښوونې د یوې مهال ویش مطابق بیا لیکي چې تاسو یې هېڅکله نه ګورئ.

پرېږدئ AllowedIPs یوازې کارپوریټ ساحه ونوموي

AllowedIPs هغه منزلونه لیست کوي چې WireGuard یې تونل ته لارښوونه کوي. د دننه ایښودلو لپاره یوازې د داخلي سرور پته او کارپوریټ پریفیکسونه ته اړتیا لري. نور هر څه په سیمه ییزه شبکه کې پاتې کېږي، چې چاپګر او هایپر وایزر هم پکې دي. دا د ډیزاین له مخې ووېشل شوی تونل دی، او د خارجولو ستونزه په بشپړ ډول ترې ډډه کوي.

د بشپړ تونل بهرنۍ طبقې ته اړتیا ده 0.0.0.0/0 منفي سیمه ییزې ساحې. بڼه نشي کولی خارجول بیان کړي, نو بشپړونکی باید حساب او نښلول شي.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

کله چې داخلي کلاینټ خپلې لارښوونې نه نصبوي، کارپوریټ پریفیکسونه پخپله لیست کړئ. له هغې کرښې پاتې شوی پریفیکس هغه منزل دی چې بهرنی تونل یې هېڅکله نه وړي. د لیست زوړ کاپي له نه شتون څخه بدتر دی، ځکه لا هم سم ښکاري.

ترتیب، میټریکونه او دویم اډاپټر

لومړی بهرنی تونل سره وصل شئ، بیا کارپوریټ کلاینټ پیل کړئ. بیا به د هغه د پای ټکي اړیکه د سیمه ییزې دروازې پر ځای WireGuard له لارې ووځي. کارپوریټ انټرفېس ته ټیټ میټریک ورکړئ تر څو یې پریفیکسونه د هغو پتو لپاره وګټي چې د هغه ملکیت دي.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

میټریکونه هغه ګام دی چې خلک یې پرېږدي. پرته له ترتیب، د یو بل پرمخ راتلونکي پریفیکس لپاره هغه لار بریالۍ کېږي چې په پای کې نصب شوې. دا د بیا پیلونو ترمنځ بدلېږي، له همدې امله ستونزه منځمهاله ښکاري.

د OpenVPN 2.6 پر بنسټ کلاینټونه خپله تله ورزیاتوي. کله چې د معلوماتو کانال د تخلیې اډاپټر لا دمخه بوخت وي، دویم مثال په ساده ډول له پیل کېدو انکار کوي. په پروفایل کې disable-dco ورزیاتول بیرته زاړه TAP لار ته ځي، او بیا دواړه څنګ په څنګ کار کوي.

چېرې چې دننه ایښودل شوې لار ماتېږي

د بهرني تونل نښلول پرېکول داخلي وژني. یوازې داخلي کلاینټ بیا نښلول ډېری وخت هغه مستقیم انټرنیټ ته لېږي او دننه ایښودل په خاموشۍ سره لرې کوي. هر ځل ترتیب له سره وازموئ، دواړه تونلونه بند کړئ.

د لږ ګټور MTU تمه وکړئ. هر طبقه اضافي لګښت زیاتوي، نو د 1420 او 1400 شاوخوا پیل جوړه د پیل کولو لپاره ښه ځای دی. هغه لېږد چې په لویو بنډلونو کې ودروي خو کوچنۍ غوښتنې بریالۍ شي، معمول نښه ده. کارپوریټ تګلاره بله پوله ده، ځکه هغه کلاینټ چې مدیریت شوې وسیله غواړي کولی شي دننه ایښودل شوې لار سرغړونه وګڼي.

کله چې دواړه پایونه ثابتې شبکې وي، د دروازو ترمنځ د سایټ-سایټ تونل د ترتیب ستونزه د اداره کولو پر ځای لرې کوي. په یوه لپ ټاپ کې دوه تونلونه یوازې هغه وخت یوځای وي چې هر یو خپل انټرفېس او د پریفیکس له مخې د منزلونو غوره کوونکی قاعده ولري.