WireGuard ichida korporativ VPN: qaysi qatlam birinchi keladi?

Dasturchining noutbukida tunnellarni bir-birining ichiga joylashtirishning ikki asosli sababi bor. Yo korporativ mijoz muayyan davlatdan kelayotgandek ko'rinishi kerak, yo ikki xususiy tarmoq bir vaqtda yetib boriladigan bo'lishi kerak. Ikkala holatda ham tashqi tunnel ichki mijozning o'z ulanishini tashishi kerak.

Ikki mijozni har qanday tartibda ishga tushirish buni bermaydi. Buni marshrutlash beradi.

Ikki mumkin bo'lgan tartibni solishtiring

Tashqi qatlam sifatida oxirgi nuqtasiga ochiq internetdan yetib borish mumkin bo'lgan tunnelni tanlang. Ichki qatlam — serveri faqat shu chiqish orqali javob beradigan tunnel. Windows'da amaliy bo'linish tashqarida WireGuard va ichkarida korporativ mijoz. Hal qiluvchi omil — nazorat.

Rasmiy WireGuard mijozi to'liq konfiguratsiya faylini qo'llaydi, marshrutlar va DNS bilan birga. Tijoriy korporativ mijozlar odatda ikkalasini ham yashiradi. Yashirin mijozni tashqariga qo'yish ostidagi yo'l haqida taxmin qilishga majbur qiladi.

Teskari tartib imkonsiz emas. Faqat u haqida fikr yuritish qiyinroq, chunki tashqi mijoz marshrutlarni siz hech qachon ko'rmaydigan jadval bo'yicha qayta yozadi.

AllowedIPs faqat korporativ diapazonni nomlasin

AllowedIPs WireGuard tunnelga yo'naltiradigan manzillarni sanab chiqadi. Ichkariga joylashtirish uchun unga faqat ichki server manzili va korporativ prefikslar kerak. Qolgan hamma narsa mahalliy tarmoqda qoladi, printerlar va gipervisor ham. Bu dizayn bo'yicha ajratilgan tunnel va u chiqarib tashlash muammosidan butunlay qochadi.

To'liq tunnelli tashqi qatlamga kerak 0.0.0.0/0 minus mahalliy diapazonlar. Format chiqarib tashlashni ifodalay olmaydi, shuning uchun to'ldiruvchini hisoblab qo'yish kerak.

[Interface]
PrivateKey = ...
Address = 10.99.4.2/32

[Peer]
PublicKey = ...
Endpoint = 198.51.100.44:51820
AllowedIPs = 198.51.100.44/32, 10.20.0.0/16, 10.21.0.0/16

Ichki mijoz o'z marshrutlarini o'rnatmasa, korporativ prefikslarni o'zingiz sanang. Shu satrdan tushib qolgan prefiks tashqi tunnel hech qachon tashimaydigan manzildir. Ro'yxatning eskirgan nusxasi yo'qligidan yomonroq, chunki u hali ham to'g'ri ko'rinadi.

Tartib, metrikalar va ikkinchi adapter

Avval tashqi tunnelga ulanib, keyin korporativ mijozni ishga tushiring. Shunda uning oxirgi nuqta ulanishi mahalliy shlyuz o'rniga WireGuard orqali chiqadi. Korporativ interfeysga pastroq metrika bering, uning prefikslari o'zi egalik qiladigan manzillarda g'olib bo'lsin.

# which interface currently claims the corporate prefix?
Find-NetRoute -RemoteIPAddress 10.20.10.5 | Select-Object -First 1

# prefer the corporate interface for its own prefixes
Set-NetIPInterface -InterfaceAlias 'Corp VPN' -InterfaceMetric 3
Set-NetIPInterface -InterfaceAlias 'wg-personal' -InterfaceMetric 40

wg show interfaces

Metrikalar — odamlar o'tkazib yuboradigan qadam. Tartibsiz qatlamlanuvchi prefiks uchun oxirgi o'rnatilgan marshrut g'olib bo'ladi. Bu yuklashlar orasida o'zgaradi, shuning uchun muammo uzuq-yuluq ko'rinadi.

OpenVPN 2.6 asosida qurilgan mijozlar o'z tuzoqlarini qo'shadi. Ma'lumot kanalini tushirish adapteri allaqachon band bo'lsa, ikkinchi nusxa ishga tushishdan bosh tortadi. Profilga disable-dco qo'shish eski TAP yo'liga qaytaradi va shunda ikkalasi yonma-yon ishlaydi.

Ichkariga joylashtirilgan yo'l qayerda uziladi

Tashqi tunnelni uzish ichkisini o'ldiradi. Faqat ichki mijozni qayta ulash uni ko'pincha to'g'ridan-to'g'ri internetga yuboradi va ichkariga joylashtirishni jimgina olib tashlaydi. Har safar ikkala tunnel ham to'xtatilgan holatda tartibni boshidan sinab ko'ring.

Kichikroq foydali MTU kuting. Har bir qatlam qo'shimcha xarajat qo'shadi, shuning uchun 1420 va 1400 atrofidagi boshlang'ich juftlik boshlash uchun yaxshi joy. Katta paketlarda tiqilib qolib, kichik so'rovlar muvaffaqiyatli o'tadigan uzatish odatiy belgidir. Korporativ siyosat — boshqa chegara, chunki boshqariladigan qurilma talab qiladigan mijoz ichkariga joylashtirilgan yo'lni buzilish deb hisoblashi mumkin.

Ikkala uch ham qat'iy tarmoq bo'lsa, shlyuzlar orasidagi sayt-sayt tunneli tartib muammosini boshqarish o'rniga yo'q qiladi. Bitta noutbukda ikki tunnel faqat har birining o'z interfeysi va prefiks bo'yicha manzillarni tanlaydigan qoidasi bo'lsa, birga mavjud bo'ladi.