WireGuard rozdělený tunel: nastavení bez výchozí trasy

Rozdělený tunel je definován tím, co vynecháte, a WireGuard to rozhodne v jednom poli. AllowedIPs na straně klienta zároveň vybírá, které cíle půjdou tunelem, a filtruje, které vnitřní zdrojové adresy se přijmou, a wg-quick promění stejný seznam v trasy hostitele. Pokazte seznam a tunel buď spolkne všechno, nebo nenese nic.

Nejprve určete seznam prefixů

Zapište cíle, které musí tunel používat, než se dotknete konfiguračního souboru. Kancelářské podsítě, rozsah databáze, správcovská síť: každý je prefix s důvodem. Vše, co není na seznamu, zůstává na fyzické cestě, a to je celý smysl návrhu.

Pokud seznam obsahuje 0.0.0.0/0 nebo ::/0, postavili jste plný tunel a měli byste to říct, protože režimy selhání a očekávání DNS se liší.

Držte seznam dost krátký, aby ho recenzent mohl později porovnat s routovací tabulkou.

Konfigurace klienta: protějšek, AllowedIPs, DNS

Blok rozhraní klienta obsahuje jeho vlastní adresu tunelu a soukromý klíč. Blok protějšku obsahuje veřejný klíč serveru, koncový bod a prefixy z prvního kroku:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs na klientu je množina vzdálených cílů, ne vlastní adresa klienta. Řádek DNS se uplatní jen prostřednictvím integrace resolveru ve wg-quick, takže hostitel bez podpory resolvconf nebo systemd-resolved ho bude ignorovat. PersistentKeepalive udržuje mapování NAT živé a na přímé cestě není potřeba.

Okomentujte každý prefix službou, které slouží, jinak bude další úprava hádáním.

Konfigurace serveru: opačný pohled

Na serveru záznam protějšku představuje klienta, takže jeho AllowedIPs je adresa tunelu klienta, obvykle /32. Není to kancelářská podsíť. Kopírování seznamu klienta do záznamu serveru je nejčastější chyba rozděleného tunelu a buď rozšíří přístup, nebo rozbije kontrolu vnitřního zdroje při handshake.

Vlastní adresa rozhraní serveru a trasy, které potřebuje ke kanceláři, jsou oddělené od jakéhokoli záznamu protějšku.

Dva soubory, dva pohledy, jedna sada prefixů rozdělená mezi ně.

Zvedněte ho a přečtěte trasy

Spusťte rozhraní podporovaným správcem a pak se podívejte, co nainstaloval, ne co jste zamýšleli. wg-quick odvozuje trasy z AllowedIPs; pokud profil nastaví Table = off, nic se nenainstaluje a směrování je na vás. Přečtěte trasu pro každý prefix a potvrďte, že ukazuje na rozhraní WireGuard. Prázdný seznam tras obvykle znamená, že použitý profil není ten, který jste upravovali.

Zkontrolujte také čítače handshake, protože protějšek bez handshake má problém s klíčem, koncovým bodem nebo dostupností, ne se směrováním.

Zapište přesný příkaz, který jste použili, protože příští člověk ho spustí pod tlakem.

Ověřte obě strany a potom zapište návrat

Otestujte soukromou adresu, její interní název a cíl, který musí zůstat přímý. Pokud soukromá adresa funguje a přímý cíl nyní odchází tunelem, seznam prefixů je příliš široký. Pokud název selže, zatímco adresa funguje, řádek DNS se neuplatnil. Návrat je jeden příkaz a patří do stejné poznámky.

Po opětovném připojení potvrďte, že trasy jsou stále na místě, protože správce, který znovu použije profil, může nahradit ruční trasy.

Mějte jednoho vlastníka konfigurace, protože dva správci vytvářející stejné rozhraní se dříve či později rozejdou. Manuál wg-quick dokumentuje chování tras a DNS, které poskytuje.