Corporate VPN sa loob ng WireGuard: aling layer ang nauuna?

May dalawang lehitimong dahilan para magsarang ng mga tunnel sa laptop ng developer. Alinman sa kailangang magmukhang galing ang corporate client sa isang partikular na bansa, o kailangang maabot ang dalawang pribadong network nang sabay. Pareho nitong kailangan na dinadala ng panlabas na tunnel ang sariling koneksyon ng panloob na client.

Ang pagsisimula ng dalawang client sa anumang pagkakasunod-sunod ay hindi nagbubunga niyon. Ang routing ang nagbubunga.

Ihambing ang dalawang posibleng pagkakasunod-sunod

Piliin ang panlabas na layer bilang tunnel na ang endpoint ay maabot mula sa pampublikong internet. Ang panloob na layer ay ang tunnel na ang server ay sumasagot lamang sa labasang iyon. Sa Windows ang praktikal na paghahati ay WireGuard sa labas at corporate client sa loob. Ang mapagpasyang salik ay kontrol.

Ang opisyal na WireGuard client ay naglalapat ng kumpletong configuration file, kasama ang mga route at DNS. Karaniwang itinatago ng mga komersyal na corporate client ang dalawa. Kapag naglagay ka ng nakatagong client sa labas, maghuhula ka na lamang tungkol sa landas sa ilalim nito.

Ang baligtad na pagkakasunod-sunod ay hindi imposible. Mas mahirap lamang itong isipin, dahil muling nagsusulat ang panlabas na client ng mga route ayon sa iskedyul na hindi mo kailanman nakikita.

Hayaang pangalanan ng AllowedIPs ang corporate range lamang

AllowedIPs naglilista ng mga destinasyon na ipinapadala ng WireGuard sa tunnel. Para sa pagsasanga kailangan lamang nito ang address ng panloob na server at ang mga corporate prefix. Ang lahat ng iba ay nananatili sa lokal na network, kasama ang mga printer at hypervisor. Ito ay split tunnel ayon sa disenyo, at tuluyang iniiwasan ang problema sa pagbubukod.

Ang panlabas na layer na may buong tunnel ay nangangailangan ng 0.0.0.0/0 bawas ang mga lokal na range. Hindi maipahayag ng format ang isang pagbubukod, kaya ang komplemento ay dapat kalkulahin at idikit.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Kapag hindi nag-install ng sariling mga route ang panloob na client, ilista mo mismo ang mga corporate prefix. Ang prefix na naiwan sa linyang iyon ay isang destinasyon na hindi kailanman dinadala ng panlabas na tunnel. Ang lumang kopya ng listahan ay mas masama kaysa wala, dahil mukhang tama pa rin ito.

Pagkakasunod-sunod, metric at ang pangalawang adapter

Ikonekta muna ang panlabas na tunnel, pagkatapos ay simulan ang corporate client. Pagkatapos ay lumalabas ang koneksyon nito sa endpoint sa pamamagitan ng WireGuard sa halip na sa lokal na gateway. Bigyan ang corporate interface ng mas mababang metric upang manalo ang mga prefix nito para sa mga address na pag-aari nito.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

Ang metric ay ang hakbang na nilalaktawan ng mga tao. Kung walang pagkakasunod-sunod, ang rutang huling na-install ang nananalo para sa magkapatong na prefix. Nagbabago iyon sa pagitan ng mga boot, kaya mukhang pabugso-bugso ang problema.

Ang mga client na itinayo sa OpenVPN 2.6 ay nagdadagdag ng sariling bitag. Kapag abala na ang adapter ng pagbaba ng data channel, ayaw na talagang magsimula ng pangalawang instance. Ang pagdaragdag ng disable-dco sa profile ay bumabalik sa mas lumang TAP path, at pagkatapos ay tumatakbo ang dalawa nang magkatabi.

Saan nasisira ang nakasang panlabas na landas

Ang pagdiskonekta sa panlabas na tunnel ay pumapatay sa panloob. Ang pagkonekta muli sa panloob na client lamang ay madalas na nagpapadala rito nang direkta sa internet at tahimik na nag-aalis ng pagsasanga. Subukan ang pagkakasunod-sunod mula sa simula bawat oras, na naka-stopped ang dalawang tunnel.

Asahan ang mas maliit na magagamit na MTU. Bawat layer ay nagdadagdag ng gastos, kaya ang pares na panimula sa paligid ng 1420 at 1400 ay isang lugar na simulang. Ang paglipat na bumabagal sa malalaking packet habang nagtatagumpay ang maliliit na kahilingan ay ang karaniwang senyales. Ang patakaran ng kumpanya ang isa pang hangganan, dahil ang client na nagnanais ng pinamamahalaang device ay maaaring ituring na paglabag ang nakasang landas.

Kapag ang dalawang dulo ay nakapirming network, ang site-to-site tunnel sa pagitan ng mga gateway ay nag-aalis ng problema sa pagkakasunod-sunod sa halip na pangasiwaan ito. Sa isang laptop, dalawang tunnel lamang ang magkasamang umiiral kapag bawat isa ay may sariling interface at tuntuning pumipili ng mga destinasyon ayon sa prefix.