WireGuard podijeljeni tunel: podesite ga bez zadane rute

Podijeljeni tunel definira ono što izostavljate, a WireGuard tu odluku donosi u jednom polju. AllowedIPs na klijentskoj strani istovremeno bira koje destinacije idu kroz tunel i filtrira koje se unutrašnje izvorne adrese prihvaćaju, a wg-quick istu listu pretvara u rute hosta. Pogriješite li s listom, tunel ili guta sve ili ne prenosi ništa.

Prvo odredite listu prefiksa

Zapišite destinacije koje moraju koristiti tunel prije nego što dotaknete konfiguracijsku datoteku. Uredske podmreže, raspon baze podataka, upravljačka mreža: svaki je prefiks s razlogom. Sve što nije na listi ostaje na fizičkoj putanji, i to je cijela poanta dizajna.

Ako lista sadrži 0.0.0.0/0 ili ::/0, izgradili ste puni tunel i to trebate reći, jer se načini kvara i očekivanja DNS-a razlikuju.

Držite listu dovoljno kratkom da je recenzent kasnije može provjeriti prema tablici usmjeravanja.

Klijentska konfiguracija: peer, AllowedIPs, DNS

Blok sučelja klijenta sadrži njegovu vlastitu adresu tunela i privatni ključ. Blok peera sadrži javni ključ poslužitelja, krajnju točku i prefikse iz prvog koraka:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs na klijentu je skup udaljenih destinacija, a ne vlastita adresa klijenta. DNS redak djeluje samo kroz integraciju razrješivača u wg-quick, pa će ga host bez podrške za resolvconf ili systemd-resolved ignorirati. PersistentKeepalive održava NAT mapiranje živim i nepotreban je na izravnoj putanji.

Komentirajte svaki prefiks uslugom koju opslužuje, inače će sljedeće uređivanje biti nagađanje.

Konfiguracija poslužitelja: suprotna perspektiva

Na poslužitelju peer zapis predstavlja klijenta, pa je njegov AllowedIPs adresa klijentovog tunela, obično /32. To nije uredska podmreža. Kopiranje klijentove liste u serverski zapis najčešća je pogreška kod podijeljenog tunela, i ona ili proširuje pristup ili kvari unutrašnju provjeru izvora tijekom rukovanja.

Vlastita adresa sučelja poslužitelja i rute koje mu trebaju prema uredu odvojeni su od svakog peer zapisa.

Dvije datoteke, dvije perspektive, jedan skup prefiksa podijeljen između njih.

Pokrenite ga i pročitajte rute

Pokrenite sučelje podržanim upraviteljem, pa pogledajte što je instalirao, a ne što ste namjeravali. wg-quick izvodi rute iz AllowedIPs; ako profil postavlja Table = off, ništa se ne instalira i usmjeravanje je vaše. Pročitajte rutu za svaki prefiks i potvrdite da pokazuje na WireGuard sučelje. Prazna lista ruta obično znači da primijenjeni profil nije onaj koji ste uređivali.

Provjerite i brojače rukovanja, jer peer bez rukovanja ima problem s ključem, krajnjom točkom ili dostupnošću, a ne s usmjeravanjem.

Zapišite točan nalog koji ste koristili, jer će ga sljedeća osoba izvršiti pod pritiskom.

Provjerite obje strane, zatim zapišite vraćanje

Testirajte privatnu adresu, njezino interno ime i destinaciju koja mora ostati izravna. Ako privatna adresa radi, a izravna destinacija sada izlazi kroz tunel, lista prefiksa je preširoka. Ako ime zakaže dok adresa radi, DNS redak nije stupio na snagu. Vraćanje je jedan nalog i pripada istoj bilješci.

Nakon ponovnog spajanja potvrdite da su rute još tamo, jer upravitelj koji ponovno primijeni profil može zamijeniti ručne rute.

Držite jednog vlasnika konfiguracije, jer će se dva upravitelja koja proizvode isto sučelje prije ili kasnije razići. Priručnik za wg-quick dokumentira ponašanje ruta i DNS-a koje pruža.