Reťazenie dvoch VPN: čo to skrýva a čo to stojí

Dva vnorené tunely vás neurobia anonymnými. Rozdeľujú pozorovania medzi dvoch poskytovateľov, takže ani jeden z nich nevidí vašu domácu adresu a váš cieľ súčasne. Je to skutočná, ale úzka výhoda a prichádza s problémami s routovaním, DNS a MTU, ktoré sa prejavia vtedy, keď na ňu prvýkrát spoliehate.

1. Rozhodnite, na čo slúži druhý skok

Napíšte cieľ v jednej vete, skôr než čokoľvek nakonfigurujete. Ak ide o to, aby váš ISP nevidel, ktoré stránky navštevujete, stačí jeden tunel. Ak ide o to, aby žiadny poskytovateľ nemohol spojiť vašu adresu s vašou prevádzkou, potrebujete dva. Ak ide o to, aby vás nikto nemohol identifikovať, žiadny počet skokov tam nevedie.

Reťaz je len tak silná, ako je logovanie slabšieho poskytovateľa a záznamy účtov, ktoré obaja vedú. Platby, e-mail pri registrácii a telemetria aplikácie stoja úplne mimo tunela.

2. Sprístupnite vnútorný koncový bod cez vonkajší tunel

Zvyčajná porucha je, že vnútorný tunel sa nikdy nenadviaže. Vonkajšie pripojenie v režime plného tunela vlastní predvolenú trasu, takže pokus vnútorného klienta dosiahnuť vlastný koncový bod pohltí vonkajší tunel a zahodí ho alebo pošle do slučky. Vnútorný koncový bod potrebuje explicitnú trasu cez vonkajšie rozhranie, nainštalovanú pred spustením vnútorného klienta. Inak sa handshake preteká s trasou a prehrá.

WireGuard ukazuje ten istý konflikt z opačnej strany. U každého peera AllowedIPs rozhoduje o tom, ktoré ciele vstupujú do tohto tunela, takže vnútorné rozhranie nárokujúce si každú adresu si nárokuje aj vonkajší koncový bod, ak nevyhrá konkrétnejšia trasa. Prekrývajúce sa AllowedIPs na dvoch rozhraniach je konfigurácia, v ktorej jedna strana potichu prehráva.

Reťazenie kontajnerov robí oddelenie explicitným a pascu očividnou. Kontajner s vlastným menným priestorom, vlastnou predvolenou trasou a klientom vnútri preposiela to, čo mu hostiteľ pošle; hostiteľ sám nezačne túto cestu používať. Zapnite preposielanie, pridajte trasu pre tunel kontajnera a nasmerujte službu na adresu kontajnera.

3. Udržte DNS na rovnakej ceste

DNS musí cestovať tam, kam cestuje prevádzka. Ak vnútorný poskytovateľ tlačí resolvery a hostiteľ sa stále pýta lokálne, tie vyhľadávania prezradia presne tie stránky, ktoré mal tunel skryť. Kontrolujte zachytením na každom rozhraní tunela namiesto spoliehania sa na stavový panel klienta. Únik tu je pri bežnom prehliadaní neviditeľný a v zachytení očividný.

Dizajny s rozdeleným DNS to sťažujú, pretože dopyt na lokálne meno môže legitímne patriť mimo tunela. Napíšte zoznam výnimiek zámerne, namiesto toho, aby ste ho objavili podľa toho, ktorý resolver náhodou odpovedal.

4. Nastavte MTU skôr, než to za vás zistia používatelia

MTU je druhá predvídateľná obeť. Dve enkapsulácie odpočítajú dve hlavičky a vonkajší tunel, ktorý už znížil MTU cesty, necháva vnútri menej miesta. Príznaky sú známe: malé požiadavky prejdú, veľké prenosy a TLS handshaky sa zaseknú.

ip link set dev wg1 mtu 1280 je hrubé riešenie a zovretie MSS na forwarderi je čistejšie. Opakovanie pripojenia nie je riešenie vôbec.

5. Otestujte zlyhanie, ktoré naozaj dostanete

Zámerne rozbite vonkajší tunel a sledujte, čo sa stane. Reťaz, ktorá pri smrti vonkajšieho skoku potichu spadne na priamu cestu, je horšia ako žiadna reťaz, pretože uniká presne v chvíli, keď ste verili, že ste krytí. Kill switch, ktorý zastaví všetku prevádzku, je správanie, o ktoré treba usilovať. Zapíšte výsledok, lebo ho nebudete chcieť objavovať znova uprostred incidentu.

Latencia a druhý bod zlyhania sú trvalé náklady. Dva skoky znamenajú aj dva fronty podpory, keď sa niečo pokazí v nevhodnú hodinu.