WireGuard లోపల కార్పొరేట్ VPN: ఏ పొర ముందుగా వస్తుంది?

డెవలపర్ ల్యాప్‌టాప్‌లో టన్నెల్‌లను ఒకదానిలో మరొకటి ఉంచడానికి రెండు సరైన కారణాలు ఉన్నాయి. ఒకటి, కార్పొరేట్ క్లయింట్ నిర్దిష్ట దేశం నుండి వస్తున్నట్లు కనిపించాలి, లేదా రెండు ప్రైవేట్ నెట్‌వర్క్‌లు ఒకే సమయంలో చేరుకోగలిగి ఉండాలి. రెండు సందర్భాల్లోనూ బయటి టన్నెల్ లోపలి క్లయింట్ యొక్క సొంత కనెక్షన్‌ను మోసుకెళ్ళాలి.

రెండు క్లయింట్లను ఏ క్రమంలో ప్రారంభించినా అది జరగదు. అది రూటింగ్ వల్ల జరుగుతుంది.

రెండు సాధ్యమైన క్రమాలను పోల్చండి

బయటి పొరగా, దాని ముగింపు బిందువు ప్రజా ఇంటర్నెట్ నుండి చేరుకోగల టన్నెల్‌ను ఎంచుకోండి. లోపలి పొర అంటే దాని సర్వర్ ఆ నిర్గమనం ద్వారానే ప్రతిస్పందించే టన్నెల్. Windows లో ఆచరణాత్మక విభజన బయట WireGuard మరియు లోపల కార్పొరేట్ క్లయింట్. నిర్ణాయక అంశం నియంత్రణ.

అధికారిక WireGuard క్లయింట్ పూర్తి కాన్ఫిగరేషన్ ఫైల్‌ను వర్తింపజేస్తుంది, రూట్‌లు మరియు DNS సహా. వాణిజ్య కార్పొరేట్ క్లయింట్లు సాధారణంగా రెండింటినీ దాచుతాయి. దాచిన క్లయింట్‌ను బయట ఉంచితే దాని కింది మార్గాన్ని ఊహించాల్సి ఉంటుంది.

వ్యతిరేక క్రమం అసాధ్యం కాదు. దాని గురించి ఆలోచించడం కష్టం, ఎందుకంటే బయటి క్లయింట్ మీరు ఎప్పుడూ చూడని షెడ్యూల్ ప్రకారం రూట్‌లను తిరిగి రాస్తుంది.

AllowedIPs కార్పొరేట్ పరిధిని మాత్రమే పేర్కొననివ్వండి

AllowedIPs WireGuard టన్నెల్‌లోకి పంపే గమ్యాలను జాబితా చేస్తుంది. లోపల ఉంచడానికి దానికి లోపలి సర్వర్ చిరునామా మరియు కార్పొరేట్ ప్రిఫిక్స్‌లు మాత్రమే అవసరం. మిగతావన్నీ స్థానిక నెట్‌వర్క్‌లోనే ఉంటాయి, ప్రింటర్లు మరియు హైపర్‌వైజర్ సహా. ఇది రూపకల్పన ప్రకారమే విభజించిన టన్నెల్, మరియు మినహాయింపు సమస్యను పూర్తిగా నివారిస్తుంది.

పూర్తి టన్నెల్ ఉన్న బయటి పొరకు అవసరం 0.0.0.0/0 మైనస్ స్థానిక పరిధులు. ఫార్మాట్ మినహాయింపును వ్యక్తపరచలేదు, కాబట్టి పూరకాన్ని లెక్కించి అతికించాలి.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

లోపలి క్లయింట్ తన సొంత రూట్‌లను ఇన్‌స్టాల్ చేయనప్పుడు, కార్పొరేట్ ప్రిఫిక్స్‌లను మీరే జాబితా చేయండి. ఆ పంక్తి నుండి తప్పిన ప్రిఫిక్స్ బయటి టన్నెల్ ఎప్పుడూ మోసుకెళ్ళని గమ్యం. జాబితా యొక్క పాత కాపీ లేకపోవడం కంటే చెడ్డది, ఎందుకంటే అది ఇప్పటికీ సరిగ్గా కనిపిస్తుంది.

క్రమం, మెట్రిక్‌లు మరియు రెండవ అడాప్టర్

మొదట బయటి టన్నెల్‌కు కనెక్ట్ అవ్వండి, ఆపై కార్పొరేట్ క్లయింట్‌ను ప్రారంభించండి. అప్పుడు దాని ముగింపు బిందువు కనెక్షన్ స్థానిక గేట్‌వేకు బదులు WireGuard ద్వారా బయటకు వెళ్తుంది. కార్పొరేట్ ఇంటర్‌ఫేస్‌కు తక్కువ మెట్రిక్ ఇవ్వండి, దాని ప్రిఫిక్స్‌లు అది కలిగి ఉన్న చిరునామాలకు గెలుస్తాయి.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

మెట్రిక్‌లు ప్రజలు దాటవేసే దశ. క్రమం లేకపోతే, ఒకదానిపై ఒకటి పోలిన ప్రిఫిక్స్‌కు చివరిగా ఇన్‌స్టాల్ చేసిన రూట్ గెలుస్తుంది. ఇది బూట్‌ల మధ్య మారుతుంది, అందుకే సమస్య అడపాదడపా వచ్చినట్లు కనిపిస్తుంది.

OpenVPN 2.6 ఆధారంగా నిర్మించిన క్లయింట్లు తమ సొంత ఉచ్చును జోడిస్తాయి. డేటా ఛానెల్ ఆఫ్‌లోడ్ అడాప్టర్ ఇప్పటికే బిజీగా ఉంటే, రెండవ ఇన్‌స్టాన్స్ ప్రారంభమవ్వడానికి నిరాకరిస్తుంది. ప్రొఫైల్‌కు disable-dco జోడిస్తే పాత TAP మార్గానికి తిరిగి వెళ్తుంది, ఆపై రెండూ పక్కపక్కనే పనిచేస్తాయి.

లోపల ఉంచిన మార్గం ఎక్కడ విరుగుతుంది

బయటి టన్నెల్‌ను డిస్‌కనెక్ట్ చేస్తే లోపలిది చనిపోతుంది. లోపలి క్లయింట్‌ను మాత్రమే తిరిగి కనెక్ట్ చేస్తే అది తరచుగా నేరుగా ఇంటర్నెట్‌కు వెళ్లి నిశ్శబ్దంగా లోపల ఉంచడాన్ని తీసివేస్తుంది. ప్రతిసారీ రెండు టన్నెల్‌లను ఆపి క్రమాన్ని మొదటి నుండి పరీక్షించండి.

చిన్న ఉపయోగకరమైన MTU ఆశించండి. ప్రతి పొర అదనపు భారాన్ని జోడిస్తుంది, కాబట్టి 1420 మరియు 1400 చుట్టూ ప్రారంభ జోడీ ప్రారంభించడానికి మంచి స్థలం. పెద్ద ప్యాకెట్లపై ఆగిపోతూ చిన్న అభ్యర్థనలు విజయవంతమవడం సాధారణ సంకేతం. కార్పొరేట్ విధానం మరో పరిమితి, ఎందుకంటే నిర్వహించబడే పరికరాన్ని కోరే క్లయింట్ లోపల ఉంచిన మార్గాన్ని ఉల్లంఘనగా పరిగణించవచ్చు.

రెండు చివరలు స్థిర నెట్‌వర్క్‌లు అయితే, గేట్‌వేల మధ్య సైట్-టు-సైట్ టన్నెల్ క్రమ సమస్యను నిర్వహించడం బదులు తొలగిస్తుంది. ఒక ల్యాప్‌టాప్‌లో, రెండు టన్నెల్‌లు ప్రతిదానికి సొంత ఇంటర్‌ఫేస్ మరియు ప్రిఫిక్స్ ప్రకారం గమ్యాలను ఎంచుకునే నియమం ఉన్నప్పుడే కలిసి ఉంటాయి.