Veriženje dveh VPN-ov: kaj skrije in koliko stane

Dva gnezdna tunela vas ne naredita anonimne. Razdelita opazovanja med dva ponudnika, zato nobeden od njiju ne vidi hkrati vašega domačega naslova in vašega cilja. To je resnična, a ozka korist, in pride s težavami z usmerjanjem, DNS in MTU, ki se pokažejo prvič, ko se nanjo zanesete.

1. Odločite, čemu služi drugi skok

Cilj zapišite v enem stavku, preden karkoli nastavite. Če gre za to, da vaš ponudnik internetnih storitev ne vidi, katere strani obiskujete, zadostuje en tunel. Če gre za to, da noben ponudnik sam ne more povezati vašega naslova z vašim prometom, sta potrebna dva. Če gre za to, da vas nihče ne more prepoznati, nobeno število skokov tja ne pripelje.

Veriga je le tako močna, kot je beleženje šibkejšega ponudnika in evidenca računov, ki ju vodita oba. Plačila, e-pošta ob registraciji in telemetrija aplikacije so povsem zunaj tunela.

2. Naredite notranjo končno točko dosegljivo skozi zunanji tunel

Običajna okvara je, da se notranji tunel nikoli ne vzpostavi. Zunanja povezava v načinu polnega tunela ima privzeto pot, zato poskus notranjega odjemalca, da doseže svojo končno točko, zunanji tunel pogoltne in ga zavrže ali spelje v zanko. Notranja končna točka potrebuje izrecno pot skozi zunanji vmesnik, nameščeno pred zagonom notranjega odjemalca. Sicer se rokovanje kosa s potjo in izgubi.

WireGuard kaže isti spor z druge strani. Pri vsakem peeru AllowedIPs določa, kateri cilji vstopajo v ta tunel, zato notranji vmesnik, ki zahteva vsak naslov, zahteva tudi zunanjo končno točko, razen če zmaga bolj natančna pot. Prekrivajoči se AllowedIPs na dveh vmesnikih je konfiguracija, v kateri ena stran tiho izgubi.

Veriženje v zabojnikih naredi ločitev izrecno in past očitno. Zabojnik z lastnim imenskim prostorom, lastno privzeto potjo in odjemalcem v njem posreduje, kar mu gostitelj pošlje; gostitelj sam ne začne uporabljati te poti. Omogočite posredovanje, dodajte pot za tunel zabojnika in usmerite storitev na naslov zabojnika.

3. Ohranite DNS na isti poti

DNS mora potovati tja, kamor potuje promet. Če notranji ponudnik potiska svoje resolverje, gostitelj pa še vedno sprašuje lokalne, te poizvedbe razkrijejo natanko tiste strani, ki naj bi jih tunel skril. Preverjajte z zajemom na vsakem vmesniku tunela, namesto da zaupate statusni plošči odjemalca. Uhajanje je tu med običajnim brskanjem nevidno in v zajemu očitno.

Zasnove z razdeljenim DNS to otežijo, ker lahko poizvedba za lokalno ime upravičeno sodi zunaj tunela. Seznam izjem napišite namerno, namesto da bi ga odkrili po tem, kateri resolver je slučajno odgovoril.

4. Nastavite MTU, preden to za vas odkrijejo uporabniki

MTU je druga predvidljiva žrtev. Dve inkapsulaciji odštejeta dve glavi, zunanji tunel, ki je že znižal MTU poti, pa pusti manj prostora znotraj. Simptomi so znani: majhne zahteve uspejo, veliki prenosi in rokovanja TLS se ustavijo.

ip link set dev wg1 mtu 1280 je groba rešitev, stiskanje MSS na posredovalniku pa je bolj urejeno. Ponovni poskus povezave ni nikakršna rešitev.

5. Preizkusite odpoved, ki jo boste res dobili

Namenoma zlomite zunanji tunel in opazujte, kaj se zgodi. Veriga, ki tiho pade na neposredno pot, ko zunanji skok umre, je slabša od nobene verige, ker uhaja natanko v trenutku, ko ste verjeli, da ste pokriti. Kill switch, ki ustavi ves promet, je vedenje, h kateremu je treba stremeti. Zapišite rezultat, saj ga ne boste želeli znova odkrivati sredi incidenta.

Zakasnitev in druga točka odpovedi sta stalna stroška. Dva skoka pomenita tudi dve vrsti za podporo, ko se kaj pokvari ob neprijetni uri.