WireGuard bölünmüş tunel: standart marşrut olmadan qurulması

Bölünmüş tunel kənarda buraxdığınız şeylərlə müəyyən edilir və WireGuard bu qərarı bir sahədə verir. Müştəri tərəfinin AllowedIPs sahəsi həm hansı təyinatların tuneldən keçəcəyini seçir, həm də hansı daxili mənbə ünvanlarının qəbul ediləcəyini süzür, wg-quick isə həmin siyahını host marşrutlarına çevirir. Siyahını səhv etsəniz, tunel ya hər şeyi udur, ya da heç nə daşımır.

Əvvəlcə prefiks siyahısını müəyyənləşdirin

Konfiqurasiya faylına toxunmazdan əvvəl tuneldən istifadə etməli olan təyinatları yazın. Ofis alt şəbəkələri, verilənlər bazası diapazonu, idarəetmə şəbəkəsi: hər biri bir səbəbi olan prefiksdir. Siyahıda olmayan hər şey fiziki yolda qalır və dizaynın bütün məqsədi budur.

Siyahıda 0.0.0.0/0 və ya ::/0 varsa, tam tunel qurmusunuz və bunu deməlisiniz, çünki uğursuzluq rejimləri və DNS gözləntiləri fərqlidir.

Siyahını kifayət qədər qısa saxlayın ki, yoxlayan şəxs sonra onu marşrut cədvəli ilə tutuşdura bilsin.

Müştəri konfiqurasiyası: qarşı tərəf, AllowedIPs, DNS

Müştərinin interfeys bloku öz tunel ünvanını və şəxsi açarını saxlayır. Qarşı tərəf bloku serverin açıq açarını, son nöqtəsini və birinci addımdan olan prefiksləri saxlayır:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

Müştəridə AllowedIPs uzaq təyinatlar çoxluğudur, müştərinin öz ünvanı deyil. DNS sətri yalnız wg-quick-in həlledici inteqrasiyası vasitəsilə işləyir, ona görə də resolvconf və ya systemd-resolved dəstəyi olmayan host onu nəzərə almayacaq. PersistentKeepalive NAT xəritələşdirməsini canlı saxlayır və birbaşa yolda lazımsızdır.

Hər prefiksə xidmət etdiyi xidməti şərh kimi yazın, əks halda növbəti düzəliş təxmin olacaq.

Server konfiqurasiyası: əks baxış bucağı

Serverdə qarşı tərəf qeydi müştərini təmsil edir, ona görə də onun AllowedIPs-i müştərinin tunel ünvanıdır, adətən /32. Bu, ofis alt şəbəkəsi deyil. Müştərinin siyahısını server qeydinə köçürmək bölünmüş tunelin ən çox yayılmış səhvidir və ya girişi genişləndirir, ya da əl sıxma zamanı daxili mənbə yoxlamasını pozur.

Serverin öz interfeys ünvanı və ofisə doğru ehtiyac duyduğu marşrutlar hər hansı qarşı tərəf qeydindən ayrıdır.

İki fayl, iki baxış bucağı, aralarında bölünmüş bir prefiks dəsti.

Onu qaldırın və marşrutları oxuyun

İnterfeysi dəstəklənən menecerlə başladın, sonra nəzərdə tutduğunuza deyil, onun quraşdırdığına baxın. wg-quick marşrutları AllowedIPs-dən çıxarır; profil Table = off təyin edirsə, heç nə quraşdırılmır və marşrutlaşdırma sizin öhdənizə düşür. Hər prefiks üçün marşrutu oxuyun və onun WireGuard interfeysinə işarə etdiyini təsdiqləyin. Boş marşrut siyahısı adətən tətbiq edilən profilin redaktə etdiyiniz profil olmadığını göstərir.

Əl sıxma sayğaclarını da yoxlayın, çünki əl sıxması olmayan qarşı tərəfin marşrut problemi deyil, açar, son nöqtə və ya əlçatanlıq problemi var.

İstifadə etdiyiniz dəqiq əmri yazın, çünki növbəti şəxs onu təzyiq altında işlədəcək.

Hər iki tərəfi yoxlayın, sonra geri qaytarmamı qeyd edin

Şəxsi ünvanı, onun daxili adını və birbaşa qalmalı olan təyinatı yoxlayın. Şəxsi ünvan işləyirsə və birbaşa təyinat artıq tuneldən çıxırsa, prefiks siyahısı çox genişdir. Ad işləmirsə, ünvan işləyirsə, DNS sətri qüvvəyə minməyib. Geri qaytarma bir əmrdir və eyni qeydə aiddir.

Yenidən qoşulduqdan sonra marşrutların hələ də yerində olduğunu təsdiqləyin, çünki profili yenidən tətbiq edən menecer əl ilə yazılmış marşrutları əvəz edə bilər.

Bir konfiqurasiya sahibi saxlayın, çünki eyni interfeysi istehsal edən iki menecer nəticədə ziddiyyətə düşəcək. wg-quick təlimatı təqdim etdiyi marşrut və DNS davranışını sənədləşdirir.