Διαχωρισμένη σήραγγα WireGuard: ρύθμιση χωρίς προεπιλεγμένη διαδρομή

Μια διαχωρισμένη σήραγγα ορίζεται από αυτό που αφήνετε έξω, και το WireGuard παίρνει αυτή την απόφαση σε ένα πεδίο. Το AllowedIPs του ομότιμου του πελάτη επιλέγει ταυτόχρονα ποιοι προορισμοί περνούν από τη σήραγγα και φιλτράρει ποιες εσωτερικές διευθύνσεις προέλευσης γίνονται δεκτές, και το wg-quick μετατρέπει την ίδια λίστα σε διαδρομές κεντρικού υπολογιστή. Αν η λίστα είναι λάθος, η σήραγγα είτε καταπίνει τα πάντα είτε δεν μεταφέρει τίποτα.

Καθορίστε πρώτα τη λίστα προθεμάτων

Γράψτε τους προορισμούς που πρέπει να χρησιμοποιούν τη σήραγγα πριν αγγίξετε αρχείο ρυθμίσεων. Υποδίκτυα γραφείου, μια περιοχή βάσης δεδομένων, ένα δίκτυο διαχείρισης: καθένα είναι ένα πρόθεμα με αιτία. Ό,τι δεν είναι στη λίστα μένει στη φυσική διαδρομή, και αυτός είναι όλος ο σκοπός του σχεδιασμού.

Αν η λίστα περιέχει 0.0.0.0/0 ή ::/0, έχετε φτιάξει πλήρη σήραγγα και πρέπει να το πείτε, γιατί οι τρόποι αστοχίας και οι προσδοκίες DNS διαφέρουν.

Κρατήστε τη λίστα αρκετά σύντομη ώστε ένας ελεγκτής να μπορεί αργότερα να τη συγκρίνει με τον πίνακα δρομολόγησης.

Ρυθμίσεις πελάτη: ομότιμος, AllowedIPs, DNS

Το μπλοκ διεπαφής του πελάτη περιέχει τη δική του διεύθυνση σήραγγας και το ιδιωτικό κλειδί. Το μπλοκ ομότιμου περιέχει το δημόσιο κλειδί του διακομιστή, το τελικό σημείο και τα προθέματα από το πρώτο βήμα:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

Το AllowedIPs στον πελάτη είναι το σύνολο των απομακρυσμένων προορισμών, όχι η δική του διεύθυνση. Η γραμμή DNS ενεργεί μόνο μέσω της ενσωμάτωσης resolver του wg-quick, οπότε ένας υπολογιστής χωρίς υποστήριξη resolvconf ή systemd-resolved θα την αγνοήσει. Το PersistentKeepalive κρατά ζωντανή μια αντιστοίχιση NAT και είναι περιττό σε άμεση διαδρομή.

Σχολιάστε κάθε πρόθεμα με την υπηρεσία που εξυπηρετεί, αλλιώς η επόμενη επεξεργασία θα είναι εικασία.

Ρυθμίσεις διακομιστή: η αντίθετη οπτική

Στον διακομιστή, η καταχώριση ομότιμου αντιπροσωπεύει τον πελάτη, οπότε το AllowedIPs της είναι η διεύθυνση σήραγγας του πελάτη, συνήθως /32. Δεν είναι το υποδίκτυο του γραφείου. Η αντιγραφή της λίστας του πελάτη στην καταχώριση του διακομιστή είναι το πιο συχνό λάθος στη διαχωρισμένη σήραγγα, και είτε διευρύνει την πρόσβαση είτε σπάει τον εσωτερικό έλεγχο προέλευσης κατά τη χειραψία.

Η δική του διεύθυνση διεπαφής του διακομιστή και οι διαδρομές που χρειάζεται προς το γραφείο είναι ξεχωριστές από κάθε καταχώριση ομότιμου.

Δύο αρχεία, δύο οπτικές, ένα σύνολο προθεμάτων μοιρασμένο ανάμεσά τους.

Σηκώστε το και διαβάστε τις διαδρομές

Ξεκινήστε τη διεπαφή με τον υποστηριζόμενο διαχειριστή και μετά κοιτάξτε τι εγκατέστησε, όχι τι σκοπεύατε. Το wg-quick παράγει διαδρομές από το AllowedIPs· αν το προφίλ ορίζει Table = off, δεν εγκαθίσταται τίποτα και η δρομολόγηση είναι δική σας. Διαβάστε τη διαδρομή για κάθε πρόθεμα και επιβεβαιώστε ότι δείχνει στη διεπαφή WireGuard. Μια κενή λίστα διαδρομών συνήθως σημαίνει ότι το προφίλ που εφαρμόστηκε δεν είναι αυτό που επεξεργαστήκατε.

Ελέγξτε και τους μετρητές χειραψίας, γιατί ένας ομότιμος χωρίς χειραψία έχει πρόβλημα κλειδιού, τελικού σημείου ή προσβασιμότητας και όχι δρομολόγησης.

Γράψτε την ακριβή εντολή που χρησιμοποιήσατε, γιατί ο επόμενος θα την εκτελέσει υπό πίεση.

Επαληθεύστε και τις δύο πλευρές και μετά καταγράψτε την επαναφορά

Δοκιμάστε μια ιδιωτική διεύθυνση, το εσωτερικό της όνομα και έναν προορισμό που πρέπει να μείνει άμεσος. Αν η ιδιωτική διεύθυνση λειτουργεί και ο άμεσος προορισμός φεύγει τώρα από τη σήραγγα, η λίστα προθεμάτων είναι πολύ ευρεία. Αν το όνομα αποτύχει ενώ η διεύθυνση λειτουργεί, η γραμμή DNS δεν τέθηκε σε ισχύ. Η επαναφορά είναι μία εντολή και ανήκει στην ίδια σημείωση.

Μετά από επανασύνδεση, επιβεβαιώστε ότι οι διαδρομές είναι ακόμη εκεί, γιατί ένας διαχειριστής που εφαρμόζει ξανά το προφίλ μπορεί να αντικαταστήσει χειροκίνητες διαδρομές.

Κρατήστε έναν ιδιοκτήτη ρυθμίσεων, γιατί δύο διαχειριστές που παράγουν την ίδια διεπαφή θα διαφωνήσουν τελικά. Το εγχειρίδιο του wg-quick τεκμηριώνει τη συμπεριφορά διαδρομών και DNS που παρέχει.