Podjetniški VPN znotraj WireGuarda: katera plast je prva?

Za gnezdenje tunelov na razvijalčevem prenosniku obstajata dva utemeljena razloga. Bodisi mora podjetniški odjemalec izgledati, kot da prihaja iz določene države, bodisi morata biti dve zasebni omrežji dosegljivi hkrati. V obeh primerih mora zunanji tunel prenašati lastno povezavo notranjega odjemalca.

Zagon dveh odjemalcev v kakršnem koli vrstnem redu tega ne da. To da usmerjanje.

Primerjajte dva možna vrstna reda

Za zunanjo plast izberite tunel, katerega končna točka je dosegljiva z javnega interneta. Notranja plast je tunel, katerega strežnik odgovarja le prek tega izhoda. V Windowsu je praktična delitev WireGuard zunaj in podjetniški odjemalec znotraj. Odločilni dejavnik je nadzor.

Uradni odjemalec WireGuard uporabi celotno konfiguracijsko datoteko, vključno s potmi in DNS. Komercialni podjetniški odjemalci običajno skrivajo oboje. Če skriti odjemalec postavite zunaj, vam ostane ugibanje o poti pod njim.

Obrnjen vrstni red ni nemogoč. Le težje je o njem razmišljati, ker zunanji odjemalec prepisuje poti po urniku, ki ga nikoli ne vidite.

Naj AllowedIPs poimenuje samo podjetniški razpon

AllowedIPs našteje cilje, ki jih WireGuard usmeri v tunel. Za gnezdenje potrebuje le naslov notranjega strežnika in podjetniške predpone. Vse ostalo ostane v lokalnem omrežju, vključno s tiskalniki in hipervizorjem. To je po zasnovi razdeljen tunel in se popolnoma izogne težavi z izključitvijo.

Zunanja plast s polnim tunelom potrebuje 0.0.0.0/0 minus lokalne razpone. Oblika ne more izraziti izključitve, zato je treba dopolnilo izračunati in prilepiti.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Ko notranji odjemalec ne namesti svojih poti, sami naštejte podjetniške predpone. Predpona, ki na tej vrstici manjka, je cilj, ki ga zunanji tunel nikoli ne prenaša. Zastarela kopija seznama je slabša od nobene, ker je še vedno videti pravilna.

Vrstni red, merila in drugi vmesnik

Najprej povežite zunanji tunel, nato zaženite podjetniški odjemalec. Njegova povezava s končno točko nato gre skozi WireGuard namesto skozi lokalni prehod. Podjetniškemu vmesniku dajte nižje merilo, da njegove predpone zmagajo za naslove, ki jih ima v lasti.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

Merila so korak, ki ga ljudje preskočijo. Brez urejenosti za prekrivajočo se predpono zmaga pot, nameščena zadnja. To se med zagoni spreminja, zato je videti težava občasna.

Odjemalci, zgrajeni na OpenVPN 2.6, dodajo svojo past. Ko je vmesnik za razbremenitev podatkovnega kanala že zaseden, se druga instanca preprosto noče zagnati. Če profilu dodate disable-dco, se vrne na starejšo pot TAP in takrat oba tečeta drug ob drugem.

Kje se gnezdena pot prelomi

Prekinitev zunanjega tunela ubije notranjega. Če znova povežete samo notranjega odjemalca, ga to pogosto pošlje naravnost v internet in tiho odstrani gnezdenje. Vsakokrat preizkusite zaporedje od začetka, z obema tuneloma ustavljenima.

Pričakujte manjši uporabni MTU. Vsaka plast doda stroške, zato je začetni par okoli 1420 in 1400 dobro izhodišče. Prenos, ki se ustavi pri velikih paketih, medtem ko majhne zahteve uspejo, je običajen znak. Podjetniška politika je druga meja, ker lahko odjemalec, ki zahteva upravljano napravo, gnezdeno pot šteje za kršitev.

Ko sta oba konca nespremenljivi omrežji, tunel od mesta do mesta med prehodi odpravi težavo z vrstnim redom, namesto da bi jo upravljal. Na enem prenosniku dva tunela soobstajata le, če ima vsak svoj vmesnik in pravilo, ki izbira cilje po predponi.