Twnel hollt WireGuard: ei osod heb lwybr diofyn

Diffinnir twnel hollt gan yr hyn rydych chi'n ei hepgor, ac mae WireGuard yn gwneud y penderfyniad hwnnw mewn un maes. Mae AllowedIPs ochr y cleient yn dewis ar yr un pryd pa gyrchfannau sy'n mynd drwy'r twnel ac yn hidlo pa gyfeiriadau ffynhonnell mewnol a dderbynnir, ac mae wg-quick yn troi'r un rhestr yn llwybrau gwesteiwr. Os bydd y rhestr yn anghywir, naill ai mae'r twnel yn llyncu popeth neu'n peidio â chario dim.

Penderfynwch y rhestr rhagddodiadau yn gyntaf

Nodwch y cyrchfannau sy'n rhaid defnyddio'r twnel cyn cyffwrdd â ffeil ffurfweddu. Isrwydweithiau swyddfa, amrediad cronfa ddata, rhwydwaith rheoli: mae pob un yn rhagddodiad ag achos dros ei fod. Mae popeth nad yw ar y rhestr yn aros ar y llwybr corfforol, a dyna holl bwynt y dyluniad.

Os yw'r rhestr yn cynnwys 0.0.0.0/0 neu ::/0, rydych chi wedi adeiladu twnel llawn a dylech ddweud hynny, oherwydd mae'r moddau methu a'r disgwyliadau DNS yn wahanol.

Cadwch y rhestr yn ddigon byr fel y gall adolygydd ei chymharu â'r tabl llwybro yn nes ymlaen.

Ffurfweddiad y cleient: cymar, AllowedIPs, DNS

Mae bloc rhyngwyneb y cleient yn dal ei gyfeiriad twnel ei hun a'i allwedd breifat. Mae bloc y cymar yn dal allwedd gyhoeddus y gweinydd, y pwynt terfyn a'r rhagddodiadau o'r cam cyntaf:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

Set o gyrchfannau pell yw AllowedIPs ar y cleient, nid cyfeiriad y cleient ei hun. Dim ond drwy integreiddiad datryswr wg-quick y mae'r llinell DNS yn gweithio, felly bydd gwesteiwr heb gefnogaeth resolvconf na systemd-resolved yn ei hanwybyddu. Mae PersistentKeepalive yn cadw mapiad NAT yn fyw ac yn ddiangen ar lwybr uniongyrchol.

Sylwebyddwch ar bob rhagddodiad gyda'r gwasanaeth y mae'n ei wasanaethu, neu bydd y golygiad nesaf yn ddyfalu.

Ffurfweddiad y gweinydd: y safbwynt arall

Ar y gweinydd, mae'r cofnod cymar yn cynrychioli'r cleient, felly ei AllowedIPs yw cyfeiriad twnel y cleient, fel arfer /32. Nid isrwydwaith y swyddfa yw hwn. Copïo rhestr y cleient i gofnod y gweinydd yw camgymeriad mwyaf cyffredin y twnel hollt, ac mae naill ai'n ehangu mynediad neu'n torri'r archwiliad ffynhonnell mewnol adeg yr ysgwyd llaw.

Mae cyfeiriad rhyngwyneb y gweinydd ei hun, a'r llwybrau sydd ei angen arno tuag at y swyddfa, ar wahân i unrhyw gofnod cymar.

Dwy ffeil, dau safbwynt, un set o ragddodiadau wedi'i rhannu rhyngddynt.

Codwch ef a darllenwch y llwybrau

Dechreuwch y rhyngwyneb gyda'r rheolwr a gefnogir, yna edrychwch ar yr hyn y gosododd yn hytrach nag ar yr hyn y bwriadwyd gennych. Mae wg-quick yn deillio llwybrau o AllowedIPs; os yw'r proffil yn gosod Table = off, nid oes dim yn cael ei osod a chi sy'n gyfrifol am y llwybro. Darllenwch y llwybr ar gyfer pob rhagddodiad a chadarnhewch ei fod yn pwyntio at ryngwyneb WireGuard. Mae rhestr llwybrau wag fel arfer yn golygu nad y proffil a gymhwyswyd yw'r un a olygwyd gennych.

Edrychwch ar y cyfrifwyr ysgwyd llaw hefyd, oherwydd mae gan gymar heb ysgwyd llaw broblem allwedd, pwynt terfyn neu gyrhaeddiad yn hytrach na phroblem llwybro.

Ysgrifennwch yr union orchymyn a ddefnyddiwyd gennych, oherwydd bydd y person nesaf yn ei redeg dan bwysau.

Gwiriwch y ddwy ochr, yna cofnodwch y gwrthdro

Profwch gyfeiriad preifat, ei enw mewnol, a chyrchfan sy'n rhaid aros yn uniongyrchol. Os yw'r cyfeiriad preifat yn gweithio ac mae'r un uniongyrchol bellach yn gadael drwy'r twnel, mae'r rhestr rhagddodiadau yn rhy eang. Os bydd yr enw'n methu tra bod y cyfeiriad yn gweithio, ni ddaeth y llinell DNS i rym. Mae'r gwrthdro yn un gorchymyn, ac mae'n perthyn i'r un nodyn.

Ar ôl ailgysylltu, cadarnhewch fod y llwybrau yn dal yno, oherwydd gall rheolwr sy'n ailddefnyddio'r proffil ddisodli llwybrau â llaw.

Cadwch un perchennog ffurfweddu, oherwydd bydd dau reolwr sy'n cynhyrchu'r un rhyngwyneb yn anghytuno yn y pen draw. Mae llawlyfr wg-quick yn dogfennu'r ymddygiad llwybrau a DNS a ddarperir ganddo.