Pagkakadena ng dalawang VPN: ano ang itinatago at ano ang halaga

Ang dalawang nested tunnel ay hindi ka ginagawang anonymous. Hinahati nila ang mga obserbasyon sa pagitan ng dalawang provider, kaya wala sa kanila ang nakakakita ng iyong tirahan at patutunguhan nang sabay. Tunay ngunit makitid itong pakinabang, at may kasamang mga problema sa routing, DNS at MTU na lumilitaw sa unang pagkakataong umasa ka rito.

1. Magpasya kung para saan ang ikalawang hop

Isulat ang layunin sa isang pangungusap bago ka mag-configure ng kahit ano. Kung layunin mong hindi makita ng iyong ISP ang mga site na binibisita mo, sapat na ang isang tunnel. Kung layunin mong walang iisang provider na makapag-ugnay ng iyong address sa iyong trapiko, kailangan ng dalawa. Kung layunin mong walang makapagpakilala sa iyo, walang bilang ng hop ang makakarating doon.

Ang kadena ay kasing tibay ng pag-log ng mas mahinang provider at ng mga talaan ng account na parehong itinatago. Ang mga pagbabayad, email sa pag-sign up at telemetry ng app ay nasa labas ng tunnel.

2. Gawing maabot ang panloob na endpoint sa pamamagitan ng panlabas na tunnel

Ang karaniwang kabiguan ay hindi kailanman nabubuo ang panloob na tunnel. Ang panlabas na koneksyon sa full-tunnel mode ang may-ari ng default na ruta, kaya ang pagtatangkang maabot ng panloob na kliyente ang sarili nitong endpoint ay nilalamon ng panlabas na tunnel at itinatapon o inilalagay sa loop. Kailangan ng panloob na endpoint ng malinaw na ruta sa panlabas na interface, na naka-install bago magsimula ang panloob na kliyente. Kung hindi, nakikipagkarera ang handshake sa ruta at natatalo.

Ipinapakita ng WireGuard ang parehong salungatan mula sa kabilang panig. Sa bawat peer, AllowedIPs ang nagpapasya kung aling mga destinasyon ang pumapasok sa tunnel na iyon, kaya ang panloob na interface na nag-aangkin ng bawat address ay nag-aangkin din ng panlabas na endpoint maliban kung manalo ang mas tiyak na ruta. AllowedIPs na magkakapatong sa dalawang interface ay isang configuration kung saan tahimik na natatalo ang isang panig.

Ginagawang malinaw ng pagkakadena ng container ang paghihiwalay at halata ang bitag. Ang container na may sariling namespace, sariling default na ruta at kliyenteng nasa loob ay nagpapatuloy ng ipinapadala ng host dito; hindi sinisimulan ng host na gamitin ang rutang iyon nang mag-isa. I-enable ang forwarding, magdagdag ng ruta para sa tunnel ng container, at ituro ang serbisyo sa address ng container.

3. Panatilihin ang DNS sa parehong ruta

Dapat maglakbay ang DNS kung saan naglalakbay ang trapiko. Kung itinutulak ng panloob na provider ang mga resolver at nagtatanong pa rin ang host sa mga lokal, ibinubunyag ng mga paghahanap na iyon ang mismong mga site na dapat itago ng tunnel. Suriin gamit ang capture sa bawat tunnel interface sa halip na magtiwala sa status panel ng kliyente. Ang pagtagas dito ay hindi nakikita sa normal na pag-browse at halata sa isang capture.

Pinapahirap ito ng mga split DNS na disenyo, dahil ang query para sa lokal na pangalan ay maaaring lehitimong nabibilang sa labas ng tunnel. Isulat nang sinasadya ang listahan ng pagbubukod sa halip na matuklasan ito mula sa resolver na nagkataong sumagot.

4. Itakda ang MTU bago malaman ng mga user para sa iyo

Ang MTU ang isa pang mahuhulaang biktima. Dalawang encapsulation ang nagbabawas ng dalawang header, at ang panlabas na tunnel na nagpababa na ng MTU ng ruta ay nag-iiwan ng mas maliit na espasyo sa loob. Pamilyar ang mga sintomas: nagtatagumpay ang maliliit na request, natitigil ang malalaking transfer at TLS handshake.

ip link set dev wg1 mtu 1280 ang blunt na solusyon, at ang pag-clamp ng MSS sa forwarder ang mas maayos. Ang muling pagsubok ng koneksyon ay hindi solusyon.

5. Subukan ang kabiguang talagang makukuha mo

Sadyang sirain ang panlabas na tunnel at panoorin ang mangyayari. Ang kadenang tahimik na bumabalik sa direktang ruta kapag namatay ang panlabas na hop ay mas masahol pa sa walang kadena, dahil nagtatagas ito sa mismong sandaling akala mo ay sakop ka. Ang kill switch na humihinto sa lahat ng trapiko ang pag-uugaling dapat layunin. Itala ang resulta, dahil hindi mo gustong matuklasan itong muli sa gitna ng isang insidente.

Ang latency at ikalawang punto ng kabiguan ang mga palaging gastos. Ang dalawang hop ay nangangahulugan din ng dalawang pila ng suporta kapag may nasira sa hindi magandang oras.