AllowedIPs yw rhestr llwybro, nid rheol wal dân

Mae'r rhan fwyaf o bobl yn darllen AllowedIPs fel rhestr caniatâd, y set o gyfeiriadau a gaiff gysylltu â pherson, yn debyg i reol wal dân a ysgrifennwyd ar gyfer twnnel. Nid felly y mae. Mae'r maes yn dabl llwybro sy'n gweithio'r ddau ffordd: mae'n dewis partner ar gyfer pecyn allan ac yn dilysu ffynhonnell un i mewn. Mae ei ddarllen fel rhestr fynediad yn cynhyrchu cyfluniadau sy'n llwybro traffig na ofynnodd neb amdano.

Un maes, dau ddarllenydd: dewis allan a gwirio'r ffynhonnell

Mewn cleient, mae'r rhagddodiaid yn penderfynu pa gyrchfannau sy'n teithio at y partner hwnnw a pha rai sy'n aros ar y rhwydwaith arferol. Felly mae cofnod ar gyfer 0.0.0.0/0 yn dal pob cyrchfan IPv4, a dyna pam mae mewnforio proffil twnnel llawn yn anfon pori arferol drwy'r peiriant pell. Mae cofnodion cul yn gwneud y gwrthwyneb: dim ond y rhwydweithiau a restrwyd gennych sy'n cael eu llwybro, a'r gweddill i gyd yn aros lle'r oedd. Mae adran llwybro cryptogoriadau yng nghefnogaeth WireGuard yn nodi'r ddau waith mewn un man: dewis y partner allan a dilysu'r ffynhonnell i mewn.

Ar y gweinydd, mae'r un maes yn disgrifio pa gyfeiriadau ffynhonnell y caiff pob partner eu defnyddio. Gwiriad cryptograffig yw hwn yn hytrach na hidlydd pecynnau: mae pecyn nad yw ei ffynhonnell fewnol yn cyfateb i restr y partner yn cael ei ollwng y tu mewn i WireGuard cyn i unrhyw wal dân gwesteiwr ei weld. Mae'r ddau waith yn rhannu un rhestr, a dyna'n union pam mae rhestr a gopïwyd o rywle arall yn camymddwyn mewn man na ystyriwyd gennych.

Bloc y cleient yw lle mae'r rhan fwyaf o'r dryswch hwn yn dechrau. Mae twnnel hollt yn enwi'r rhwydweithiau pell, ac mae twnnel llawn yr un maes â rhagddodiad diofyn:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

Mae'r ddwy ffurf yn gyflawn ynddynt eu hunain, ac maent yn ddewisiadau amgen yn hytrach na chamau. Mae'r gyntaf yn anfon dim ond y ddwy rwydwaith hynny drwy'r twnnel; mae'r ail yn anfon pob cyrchfan, gyda'r cofnod ::/0 yn ychwanegu IPv6 at y rhagddodiad IPv4 diofyn. Pa un bynnag a ddewiswch, y rhagddodiaid hynny yw'r penderfyniad llwybro cyfan ar gyfer y partner hwnnw unwaith y bydd wg-quick yn dechrau gosod llwybrau.

Mae angen rhestr wahanol ar y canolbwynt

Mae canolbwynt yn rhestru cyfeiriad twnnel pob cleient fel rhagddodiad gwesteiwr, ynghyd ag unrhyw rwydwaith sydd y tu ôl i'r cleient hwnnw mewn gwirionedd. Mae copïo rhestr eang cleient ar bob partner canolbwynt yn dweud wrth y canolbwynt y gall llawer o bartneriaid ddefnyddio'r un cyfeiriadau fel ffynhonnell, ac nid yw hynny'n gynllun cyfeiriadau. Mae maes Endpoint yn perthyn i haen hollol wahanol: mae'n enwi cyfeiriad a phorth allanol y partner, byth yn gyrchfan y tu mewn i'r twnnel.

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

Mae rhagddodiad y gwesteiwr yn cario cyfeiriad y twnnel ac mae rhagddodiad y rhwydwaith yn cario'r hyn sydd y tu ôl i'r cleient, ac mae'r ddau eu hangen. Heb ragododiad y gwesteiwr ni all y canolbwynt ddychwelyd traffig y cleient ei hun, a heb ragododiad y rhwydwaith mae'r LAN y tu ôl iddo yn aros yn anghyrraeddadwy; mae partner heb ddim y tu ôl iddo yn cael rhagddodiad y gwesteiwr yn unig.

Mae hepgor gosod llwybrau yn gadael bwlch

Mae wg-quick, y cynorthwyydd sy'n codi rhyngwyneb o ffeil gyfluniad, yn gosod cyfeiriadau rhyngwyneb a llwybrau fel rhan o'r gwaith hwnnw. Mae gosod Table = off yn dweud wrth y cynorthwyydd i hepgor y gwaith llwybrau, nad yw'n gosod disodlwyr ac nad yw'n gwneud y rhwydwaith preifat yn gyrraeddadwy. Pan fo llwybrau awtomatig eisoes yn gwneud y gwaith, enwi'r rhagddodiaid sydd eu hangen arnoch yw'r cyfluniad cliriaf. Nid yw diffodd rheolaeth llwybrau a gadael y disodlydd heb ei ysgrifennu yn gynllun, ond yn hepgoriad.

Mae'r offeryn wg sylfaenol yn ymddwyn yn wahanol: mae'n ffurfweddu'r rhyngwyneb ac yn byth yn cyffwrdd llwybrau, felly mae angen ei orchmynion llwybr ei hun ar osodiad a adeiladwyd yn uniongyrchol arno. Gall cyfarwyddiadau a ysgrifennwyd ar gyfer un offeryn edrych yn anghywir pan gânt eu dilyn gyda'r llall. Mae ping llwyddiannus yn dystiolaeth wan hefyd, gan ei fod yn profi un llwybr yn hytrach na phob llwybr cymhwysiad sydd ei angen arnoch.

Penderfynir DNS ac IPv6 ar wahân

Gwiriwch gyfeiriad y gweinydd DNS y mae'r twnnel yn ei hysbysebu, a chadarnhewch fod llwybr i'r cyfeiriad hwnnw yn bodoli drwy'r rhagddodiaid a ddewiswyd gennych. Nid yw gosodiad datryswr yn gwneud y datryswr yn gyrraeddadwy, a gall culhau twnnel dynnu'r llwybr a arferai gyrraedd yno yn dawel. Archwiliwch IPv6 ar ei ben ei hun hefyd, oherwydd nid yw holltiad IPv4 cywir yn dweud dim am lwybr diofyn IPv6 sy'n dal i bwyntio at y ddolen ffisegol. Gall tri phenderfyniad ar wahân newid ar unwaith pan fyddwch yn golygu un bloc partner.

Yna agorwch un adnodd preifat ac un wefan gyffredin o gyfluniad cychwynnol hysbys. Os yw'r adnodd yn ateb ac mae pori yn dal i adael drwy'r cysylltiad lleol, mae'r holltiad yn gwneud yr hyn a ofynasoch. Os yw pori yn torri ar yr un pryd, mae'r twnnel wedi cymryd y llwybr diofyn a'r rhestr rhagddodiaid yw'r man i edrych.