WireGuard-verdeelde tonnel: stel dit op sonder 'n verstekroete

'n Verdeelde tonnel word gedefinieer deur wat jy uitlaat, en WireGuard neem daardie besluit in een veld. Die kliëntportuur se AllowedIPs kies tegelyk watter bestemmings deur die tonnel gaan en filter watter binneste bronadresse aanvaar word, en wg-quick maak dieselfde lys om in gasheerroetes. Kry daardie lys verkeerd en die tonnel sluk alles of dra niks.

Bepaal eers die voorvoegsellys

Skryf die bestemmings neer wat die tonnel moet gebruik voordat jy 'n konfigurasielêer aanraak. Kantoor-subnette, 'n databasisreeks, 'n bestuursnetwerk: elkeen is 'n voorvoegsel met 'n rede. Alles wat nie op die lys is nie, bly op die fisiese pad, en dit is die hele punt van die ontwerp.

As die lys 0.0.0.0/0 of ::/0 bevat, het jy 'n volle tonnel gebou en moet jy dit sê, want die foutmodusse en DNS-verwagtings verskil.

Hou die lys kort genoeg dat 'n keurder dit later teen die roetetabel kan nagaan.

Kliëntkonfigurasie: portuur, AllowedIPs, DNS

Die kliënt se koppelvlakblok hou sy eie tonneladres en private sleutel. Die portuurblok hou die bediener se publieke sleutel, eindpunt en die voorvoegsels van stap een:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs op die kliënt is die stel afgeleë bestemmings, nie die kliënt se eie adres nie. Die DNS-lyn werk net deur wg-quick se resolver-integrasie, so 'n gasheer sonder resolvconf- of systemd-resolved-ondersteuning sal dit ignoreer. PersistentKeepalive hou 'n NAT-kaarte lewendig en is onnodig op 'n direkte pad.

Lewer kommentaar by elke voorvoegsel met die diens wat dit bedien, anders is die volgende wysiging giswerk.

Bedienerkonfigurasie: die teenoorgestelde oogpunt

Op die bediener verteenwoordig die portuurinskrywing die kliënt, so sy AllowedIPs is die kliënt se tonneladres, gewoonlik 'n /32. Dit is nie die kantoor-subnet nie. Om die kliënt se lys in die bedienerinskrywing te kopieer is die algemeenste verdeelde-tonnelfout, en dit verbreed óf toegang óf breek die binneste bronkontrole tydens die handdruk.

Die bediener se eie koppelvlakadres, en die roetes wat hy na die kantoor nodig het, is apart van enige portuurinskrywing.

Twee lêers, twee oogpunte, een stel voorvoegsels wat tussen hulle verdeel is.

Bring dit op en lees die roetes

Begin die koppelvlak met die ondersteunde bestuurder en kyk dan na wat dit geïnstalleer het, nie na wat jy bedoel het nie. wg-quick lei roetes van AllowedIPs af; as die profiel Table = off stel, word niks geïnstalleer nie en is die roetebepaling joune om te skryf. Lees die roete vir elke voorvoegsel en bevestig dat dit na die WireGuard-koppelvlak wys. 'n Leë roetelys beteken gewoonlik dat die profiel wat toegepas is nie die een is wat jy gewysig het nie.

Kyk ook na die handdruktellers, want 'n portuur sonder handdruk het 'n sleutel-, eindpunt- of bereikbaarheidsprobleem eerder as 'n roeteprobleem.

Skryf die presiese opdrag neer wat jy gebruik het, want die volgende persoon sal dit onder druk uitvoer.

Verifieer beide kante en teken dan die terugrol op

Toets 'n private adres, sy interne naam en 'n bestemming wat direk moet bly. As die private adres werk en die direkte een nou deur die tonnel verlaat, is die voorvoegsellys te wyd. As die naam misluk terwyl die adres werk, het die DNS-lyn nie in werking getree nie. Terugrol is een opdrag, en dit hoort in dieselfde nota.

Bevestig ná 'n herverbinding dat die roetes nog daar is, want 'n bestuurder wat die profiel weer toepas, kan handmatige roetes vervang.

Hou een konfigurasie-eienaar, want twee bestuurders wat dieselfde koppelvlak produseer, sal uiteindelik verskil. Die wg-quick-handleiding dokumenteer die roete- en DNS-gedrag wat dit bied.