VPN ya kampuni ndani ya WireGuard: tabaka lipi linakuja kwanza?

Wateja wawili kwenye mashine moja hufanya kazi tu wakati handaki la nje linabeba muunganisho wa mteja wa ndani mwenyewe na vipimo huchagua kiolesura sahihi kwa kila kiambishi.

Kuna sababu mbili halali za kuweka handaki moja ndani ya lingine kwenye kompyuta ya msanidi. Aidha mteja wa kampuni lazima aonekane anatoka nchi fulani, au mitandao miwili ya kibinafsi lazima ifikiwe kwa wakati mmoja. Kesi zote mbili zinahitaji handaki la nje libebe muunganisho wa mteja wa ndani mwenyewe.

Kuanzisha wateja wawili kwa mpangilio wowote hakuleti hilo. Uelekezaji ndio unaoleta.

Linganisha mpangilio mbili zinazowezekana

Chagua tabaka la nje kama handaki ambalo mwisho wake unafikiwa kutoka mtandao wa umma. Tabaka la ndani ni handaki ambalo seva yake hujibu tu kupitia njia hiyo ya kutoka. Kwenye Windows mgawanyiko wa vitendo ni WireGuard nje na mteja wa kampuni ndani. Kipengele kinachoamua ni udhibiti.

Mteja rasmi wa WireGuard hutumia faili kamili ya usanidi, ikiwa ni pamoja na njia na DNS. Wateja wa kampuni wa kibiashara kwa kawaida huficha vyote viwili. Kuweka mteja aliyefichwa nje kunakuacha ukikisia njia iliyo chini yake.

Mpangilio wa kinyume hauwezekani. Ni vigumu zaidi kufikiria kuhusu, kwa sababu mteja wa nje huandika upya njia kwa ratiba usiyoiona kamwe.

Acha AllowedIPs itaje masafa ya kampuni pekee

AllowedIPs huorodhesha maeneo ambayo WireGuard huelekeza ndani ya handaki. Kwa uwekaji ndani inahitaji tu anwani ya seva ya ndani na viambishi vya kampuni. Kila kitu kingine kinabaki kwenye mtandao wa ndani, ikiwa ni pamoja na printa na hypervisor. Hili ni handaki lililogawanywa kwa muundo, na linaepuka tatizo la kutenga kabisa.

Tabaka la nje lenye handaki kamili linahitaji 0.0.0.0/0 ukiondoa masafa ya ndani. Muundo hauwezi kuonyesha kutenga, kwa hivyo kikamilisho lazima kihesabiwe na kubandikwa.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Wakati mteja wa ndani haweki njia zake mwenyewe, orodhesha viambishi vya kampuni mwenyewe. Kiambishi kilichoachwa kwenye mstari huo ni mahali ambapo handaki la nje halibebi kamwe. Nakala ya zamani ya orodha ni mbaya kuliko kutokuwa na moja, kwa sababu bado inaonekana sahihi.

Mpangilio, vipimo na adapta ya pili

Unganisha handaki la nje kwanza, kisha anza mteja wa kampuni. Ndipo muunganisho wake wa mwisho hutoka kupitia WireGuard badala ya lango la ndani. Ipe kiolesura cha kampuni kipimo cha chini ili viambishi vyake vishinde kwa anwani inazomiliki.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

Vipimo ni hatua ambayo watu huiruka. Bila mpangilio, njia iliyowekwa mwisho hushinda kwa kiambishi kinachokabiliana. Hilo hubadilika kati ya kuwasha, ndiyo sababu tatizo linaonekana la vipindi.

Wateja waliojengwa juu ya OpenVPN 2.6 huongeza mtego wao wenyewe. Wakati adapta ya upakuaji wa kituo cha data tayari inatumika, nakala ya pili hukataa kuanza. Kuongeza disable-dco kwenye wasifu hurudi kwenye njia ya zamani ya TAP, na kisha zote mbili hufanya kazi bega kwa bega.

Mahali njia iliyowekwa ndani inapovunjika

Kutenganisha handaki la nje huua la ndani. Kuunganisha tena mteja wa ndani pekee mara nyingi humtuma moja kwa moja kwenye mtandao na kuondoa kwa utulivu uwekaji ndani. Jaribu mfululizo kutoka mwanzo kila wakati, ukiwa umezima handaki zote mbili.

Tegemea MTU ndogo inayoweza kutumika. Kila tabaka huongeza gharama, kwa hivyo jozi ya kuanzia karibu 1420 na 1400 ni mahali pa kuanzia. Uhamisho unaokwama kwenye pakiti kubwa wakati maombi madogo yanafanikiwa ni ishara ya kawaida. Sera ya kampuni ni kikomo kingine, kwa sababu mteja anayetaka kifaa kinachosimamiwa anaweza kuona njia iliyowekwa ndani kama ukiukaji.

Wakati ncha zote mbili ni mitandao isiyobadilika, handaki la tovuti-hadi-tovuti kati ya lango huondoa tatizo la mpangilio badala ya kulisimamia. Kwenye kompyuta moja, handaki mbili huishi pamoja tu wakati kila moja ina kiolesura chake na sheria inayochagua maeneo kwa kiambishi.

Makala zinazohusiana