Túnel dividit de WireGuard: configureu-lo sense ruta per defecte

Un túnel dividit es defineix pel que deixeu fora, i WireGuard pren aquesta decisió en un sol camp. L'AllowedIPs del parell del client tria alhora quines destinacions passen pel túnel i filtra quines adreces d'origen internes s'accepten, i wg-quick converteix la mateixa llista en rutes d'amfitrió. Si la llista és incorrecta, el túnel o s'ho empassa tot o no transporta res.

Decidiu primer la llista de prefixos

Anoteu les destinacions que han d'usar el túnel abans de tocar cap fitxer de configuració. Subxarxes d'oficina, un rang de base de dades, una xarxa de gestió: cadascuna és un prefix amb un motiu. Tot el que no és a la llista es queda al camí físic, i aquest és tot el sentit del disseny.

Si la llista conté 0.0.0.0/0 o ::/0, heu construït un túnel complet i ho hauríeu de dir, perquè els modes de fallada i les expectatives de DNS són diferents.

Mantingueu la llista prou curta perquè un revisor la pugui contrastar després amb la taula d'encaminament.

Configuració del client: parell, AllowedIPs, DNS

El bloc d'interfície del client conté la seva pròpia adreça de túnel i la clau privada. El bloc de parell conté la clau pública del servidor, el punt final i els prefixos del primer pas:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

L'AllowedIPs al client és el conjunt de destinacions remotes, no l'adreça pròpia del client. La línia DNS només té efecte a través de la integració del resolutor de wg-quick, així que un amfitrió sense suport de resolvconf o systemd-resolved l'ignorarà. PersistentKeepalive manté viu un mapatge NAT i no cal en un camí directe.

Comenteu cada prefix amb el servei que atén, o la propera edició serà una endevinalla.

Configuració del servidor: el punt de vista oposat

Al servidor, l'entrada de parell representa el client, així que la seva AllowedIPs és l'adreça de túnel del client, normalment una /32. No és la subxarxa d'oficina. Copiar la llista del client a l'entrada del servidor és l'error més comú del túnel dividit, i o bé amplia l'accés o bé trenca la comprovació d'origen intern en el moment de l'encaixada de mans.

L'adreça d'interfície del servidor i les rutes que necessita cap a l'oficina són independents de qualsevol entrada de parell.

Dos fitxers, dos punts de vista, un conjunt de prefixos repartit entre tots dos.

Aixequueu-lo i llegiu les rutes

Inicieu la interfície amb el gestor compatible i després mireu què ha instal·lat, no què preteníeu. wg-quick deriva les rutes de l'AllowedIPs; si el perfil estableix Table = off, no s'instal·la res i l'encaminament és cosa vostra. Llegiu la ruta de cada prefix i confirmeu que apunta a la interfície de WireGuard. Una llista de rutes buida normalment vol dir que el perfil aplicat no és el que heu editat.

Reviseu també els comptadors d'encaixada de mans, perquè un parell sense encaixada té un problema de clau, punt final o abastabilitat, no d'encaminament.

Escriviu l'ordre exacta que heu fet servir, perquè la propera persona l'executarà sota pressió.

Verifiqueu tots dos costats i després anoteu la reversió

Proveu una adreça privada, el seu nom intern i una destinació que ha de romandre directa. Si l'adreça privada funciona i la directa ara surt pel túnel, la llista de prefixos és massa ampla. Si el nom falla mentre l'adreça funciona, la línia DNS no ha tingut efecte. La reversió és una ordre i pertany a la mateixa nota.

Després de tornar a connectar, confirmeu que les rutes encara hi són, perquè un gestor que torna a aplicar el perfil pot substituir les rutes manuals.

Mantingueu un sol propietari de la configuració, perquè dos gestors que produeixen la mateixa interfície acabaran discrepant. El manual de wg-quick documenta el comportament de rutes i DNS que ofereix.