VPN korporative brenda WireGuard: cila shtresë vjen e para?

Ka dy arsye legjitime për të folezuar tunele në laptopin e një zhvilluesi. Ose klienti korporativ duhet të duket sikur vjen nga një vend i caktuar, ose dy rrjete private duhet të jenë të arritshme në të njëjtën kohë. Të dyja rastet kërkojnë që tuneli i jashtëm të mbartë lidhjen e vetë klientit të brendshëm.

Nisja e dy klientëve në çdo rend nuk e prodhon atë. E prodhon rrugëtimi.

Krahasoni dy rendet e mundshme

Zgjidhni shtresën e jashtme si tunelin pika e fundit e të cilit arrihet nga interneti publik. Shtresa e brendshme është tuneli serveri i të cilit përgjigjet vetëm përmes atij daljeje. Në Windows ndarja praktike është WireGuard jashtë dhe klienti korporativ brenda. Faktori vendimtar është kontrolli.

Klienti zyrtar i WireGuard zbaton një skedar të plotë konfigurimi, duke përfshirë rrugët dhe DNS. Klientët korporativë komercialë zakonisht i fshehin të dyja. Vendosja e një klienti të fshehur jashtë ju lë të hamendësoni për rrugën poshtë tij.

Rendi i kundërt nuk është i pamundur. Është thjesht më i vështirë për t'u arsyetuar, sepse klienti i jashtëm i rishkruan rrugët sipas një plani që nuk e shihni kurrë.

Lëreni AllowedIPs të emërtojë vetëm intervalin korporativ

AllowedIPs liston destinacionet që WireGuard i drejton në tunel. Për folezim i nevojitet vetëm adresa e serverit të brendshëm dhe prefikset korporative. Gjithçka tjetër mbetet në rrjetin lokal, duke përfshirë printerat dhe hipervizorin. Ky është një tunel i ndarë sipas dizajnit, dhe shmang plotësisht problemin e përjashtimit.

Një shtresë e jashtme me tunel të plotë ka nevojë për 0.0.0.0/0 minus intervalet lokale. Formati nuk mund të shprehë një përjashtim, ndaj komplementi duhet llogaritur dhe ngjitur.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Kur klienti i brendshëm nuk instalon rrugët e veta, listoni vetë prefikset korporative. Një prefiks i lënë jashtë atij rreshti është një destinacion që tuneli i jashtëm nuk e mbart kurrë. Një kopje e vjetruar e listës është më e keqe se asnjë, sepse ende duket e saktë.

Rendi, metrikat dhe përshtatësi i dytë

Lidhni së pari tunelin e jashtëm, pastaj nisni klientin korporativ. Atëherë lidhja e pikës së tij fundore del përmes WireGuard në vend të portës lokale. Jepini ndërfaqes korporative një metrikë më të ulët që prefikset e saj të fitojnë për adresat që zotëron.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

Metrikat janë hapi që njerëzit e anashkalojnë. Pa një rend, për prefiksin që mbivendoset fiton rruga e instaluar e fundit. Kjo ndryshon midis nisjeve, prandaj problemi duket i ndërprerë.

Klientët e ndërtuar mbi OpenVPN 2.6 shtojnë kurthin e tyre. Kur përshtatësi i shkarkimit të kanalit të të dhënave është tashmë i zënë, një instancë e dytë thjesht refuzon të nisë. Shtimi i disable-dco në profil kthehet në rrugën më të vjetër TAP, dhe atëherë të dyja punojnë krah për krah.

Ku thyhet rruga e folezuar

Shkëputja e tunelit të jashtëm vret atë të brendshëm. Rilidhja vetëm e klientit të brendshëm shpesh e dërgon drejt në internet dhe e heq folezimin në heshtje. Testoni sekuencën nga e para çdo herë, me të dy tunelet të ndaluar.

Prisni një MTU të përdorshme më të vogël. Çdo shtresë shton shpenzime shtesë, ndaj një çift fillestar rreth 1420 dhe 1400 është një vend për të filluar. Një transferim që ngec në paketat e mëdha ndërsa kërkesat e vogla kalojnë është shenja e zakonshme. Politika korporative është kufiri tjetër, sepse një klient që kërkon një pajisje të menaxhuar mund ta shohë një rrugë të folezuar si shkelje.

Kur të dy skajet janë rrjete fikse, një tunel nga siti në sit midis portave e heq problemin e rendit në vend që ta menaxhojë. Në një laptop të vetëm, dy tunele bashkëjetojnë vetëm kur secili ka ndërfaqen e vet dhe një rregull që zgjedh destinacionet sipas prefiksit.