Kuunganisha VPN mbili kwa mnyororo: kinaficha nini na kinagharimu nini

Mifereji miwili iliyopachikwa haikufanyi kuwa bila jina. Hiyo hugawanya uchunguzi kati ya watoa huduma wawili, kwa hivyo hakuna hata mmoja anayeona anwani yako ya nyumbani na unakoenda kwa wakati mmoja. Hiyo ni faida ya kweli lakini nyembamba, na inakuja na matatizo ya uelekezaji, DNS na MTU yanayoonekana mara ya kwanza unapotegemea.

1. Amua hoja ya pili ni ya nini

Andika lengo katika sentensi moja kabla ya kusanidi chochote. Ikiwa ni kwamba mtoa huduma wako wa intaneti asione tovuti unazotembelea, mfereji mmoja unatosha. Ikiwa ni kwamba hakuna mtoa huduma mmoja anayeweza kuhusisha anwani yako na trafiki yako, vinahitajika viwili. Ikiwa ni kwamba hakuna mtu anayeweza kukutambua, hakuna idadi ya hoja inayofika hapo.

Mnyororo ni imara kwa kadiri uwekaji kumbukumbu wa mtoa huduma dhaifu na kumbukumbu za akaunti ambazo wote wawili huhifadhi. Malipo, barua pepe ya kujisajili na telemetry ya programu viko nje ya mfereji kabisa.

2. Fanya ncha ya ndani ifikike kupitia mfereji wa nje

Kushindwa kwa kawaida ni kwamba mfereji wa ndani haujaanzishwa kamwe. Muunganisho wa nje wa hali ya mfereji kamili unamiliki njia ya kawaida, kwa hivyo jaribio la mteja wa ndani kufikia ncha yake mwenyewe humezwa na mfereji wa nje na kutupwa au kuwekwa kwenye mzunguko. Ncha ya ndani inahitaji njia ya wazi kupitia kiolesura cha nje, iliyowekwa kabla mteja wa ndani hajaanza. Vinginevyo kupeana mikono kunashindana na njia na kushindwa.

WireGuard inaonyesha mgongano huo huo kutoka upande mwingine. Kwa kila peer, AllowedIPs huamua ni maeneo gani yanayoingia kwenye mfereji huo, kwa hivyo kiolesura cha ndani kinachodai kila anwani kinadai pia ncha ya nje isipokuwa njia mahususi zaidi itashinda. AllowedIPs zilizopishana kwenye violesura viwili ni usanidi ambao upande mmoja unashindwa kimya kimya.

Uunganishaji wa kontena hufanya utengano uwe wazi na mtego uwe dhahiri. Kontena yenye nafasi yake ya majina, njia yake ya kawaida na mteja ndani yake husambaza kile mwenyeji anachomtumia; mwenyeji haanza kutumia njia hiyo yeye mwenyewe. Washa usambazaji, ongeza njia kwa mfereji wa kontena, na uelekeze huduma kwenye anwani ya kontena.

3. Weka DNS kwenye njia hiyo hiyo

DNS lazima isafiri pale trafiki inasafiri. Ikiwa mtoa huduma wa ndani anasukuma resolvers na mwenyeji bado anauliza zile za ndani, utafutaji huo hufichua hasa tovuti ambazo mfereji ulipaswa kuzificha. Angalia kwa kunasa kwenye kila kiolesura cha mfereji badala ya kuamini paneli ya hali ya mteja. Uvujaji hapa hauonekani wakati wa kuvinjari kawaida na huonekana wazi katika kunasa.

Miundo ya DNS iliyogawanywa hufanya hili kuwa gumu zaidi, kwa sababu ombi la jina la ndani linaweza kihalali kuwa nje ya mfereji. Andika orodha ya vighairi kwa makusudi badala ya kuigundua kutoka kwa resolver iliyojibu kwa bahati.

4. Weka MTU kabla watumiaji hawajagundua kwa niaba yako

MTU ni mwathirika mwingine anayetabirika. Usimbaji mbili hutoa vichwa viwili, na mfereji wa nje ambao tayari umeshusha MTU ya njia huacha nafasi ndogo ndani. Dalili zinajulikana: maombi madogo hufaulu, uhamishaji mkubwa na kupeana mikono kwa TLS hukwama.

ip link set dev wg1 mtu 1280 ndiyo suluhisho la kijinga, na kukandamiza MSS kwenye kisambazaji ndilo lililo nadhifu zaidi. Kujaribu muunganisho tena si suluhisho hata kidogo.

5. Jaribu kushindwa ambako utapata kweli

Vunja mfereji wa nje kwa makusudi na uangalie kinachotokea. Mnyororo unaoanguka kimya kimya kwenye njia ya moja kwa moja wakati hoja ya nje inapokufa ni mbaya kuliko kutokuwa na mnyororo, kwa sababu unavuja hasa wakati uliamini kuwa umehifadhiwa. Kill switch inayosimamisha trafiki yote ni tabia inayopaswa kulengwa. Rekodi matokeo, kwa sababu hutataka kuigundua tena katikati ya tukio.

Ucheleweshaji na sehemu ya pili ya kushindwa ni gharama za kudumu. Hoja mbili pia zinamaanisha foleni mbili za msaada wakati kitu kinapovunjika saa isiyofaa.