WireGuard dividita tunelo: agordu ĝin sen defaŭlta itinero

Dividita tunelo estas la prefiksa listo, kiun vi preterlasas. Metu la malproksimajn gamojn ĉe la klienta samtavolo, la adreson de la kliento ĉe la servila samtavolo, kaj poste legu la itinerojn.

Dividita tunelo difiniĝas per tio, kion vi preterlasas, kaj WireGuard faras tiun decidon en unu kampo. AllowedIPs ĉe la klienta samtavolo samtempe elektas, kiuj celoj iras tra la tunelo, kaj filtradas, kiuj internaj fontadresoj estas akceptataj, kaj wg-quick transformas la saman liston en gastigajn itinerojn. Se la listo malĝustas, la tunelo aŭ englutas ĉion aŭ portas nenion.

Unue difinu la prefiksan liston

Skribu la celojn, kiuj devas uzi la tunelon, antaŭ ol tuŝi agordan dosieron. Oficejaj subretoj, datumbaza gamo, administra reto: ĉiu estas prefikso kun kaŭzo. Ĉio, kio ne estas en la listo, restas sur la fizika vojo, kaj tio estas la tuta senco de la dezajno.

Se la listo enhavas 0.0.0.0/0 aŭ ::/0, vi konstruis plenan tunelon kaj devus tion diri, ĉar la malsukcesaj reĝimoj kaj DNS-atendoj malsamas.

Tenu la liston sufiĉe mallonga, ke recenzanto povu poste kompari ĝin kun la enkursiga tabelo.

Klienta agordo: samtavolo, AllowedIPs, DNS

La interfaca bloko de la kliento enhavas ĝian propran tunelan adreson kaj privatan ŝlosilon. La samtavola bloko enhavas la publikan ŝlosilon de la servilo, la finpunkton kaj la prefiksojn el la unua paŝo:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs ĉe la kliento estas la aro de malproksimaj celoj, ne la propra adreso de la kliento. La DNS-linio efikas nur per la solvila integriĝo de wg-quick, do gastiganto sen subteno de resolvconf aŭ systemd-resolved ignoros ĝin. PersistentKeepalive tenas NAT-mapadon viva kaj estas nenecesa sur rekta vojo.

Komentu ĉiun prefikson per la servo, kiun ĝi priservas, alie la sekva redakto estos konjekto.

Servila agordo: la kontraŭa vidpunkto

Ĉe la servilo, la samtavola rikordo reprezentas la klienton, do ĝia AllowedIPs estas la tunela adreso de la kliento, kutime /32. Ĝi ne estas la oficeja subreto. Kopii la liston de la kliento en la servilan rikordon estas la plej ofta eraro de dividita tunelo, kaj ĝi aŭ larĝigas aliron aŭ rompas la internan fontkontrolon ĉe la manpremo.

La propra interfaca adreso de la servilo kaj la itineroj, kiujn ĝi bezonas al la oficejo, estas apartaj de ĉiu samtavola rikordo.

Du dosieroj, du vidpunktoj, unu aro da prefiksoj dividita inter ili.

Starigu ĝin kaj legu la itinerojn

Startigu la interfacon per la subtenata administrilo, poste rigardu, kion ĝi instalas, anstataŭ kion vi intencis. wg-quick derivas itinerojn el AllowedIPs; se la profilo agordas Table = off, nenio instaliĝas kaj la enkursigo estas via. Legu la itineron por ĉiu prefikso kaj konfirmu, ke ĝi montras al la WireGuard-interfaco. Malplena itinera listo kutime signifas, ke la aplikita profilo ne estas tiu, kiun vi redaktis.

Kontrolu ankaŭ la manpremajn nombrilojn, ĉar samtavolo sen manpremo havas ŝlosilan, finpunkan aŭ atingeblan problemon, ne enkursigan.

Skribu la ĝustan komandon, kiun vi uzis, ĉar la sekva persono rulos ĝin sub premo.

Kontrolu ambaŭ flankojn, poste notu la malfaron

Testu privatan adreson, ĝian internan nomon kaj celon, kiu devas resti rekta. Se la privata adreso funkcias kaj la rekta nun eliras tra la tunelo, la prefiksa listo estas tro larĝa. Se la nomo malsukcesas dum la adreso funkcias, la DNS-linio ne ekvalidis. Malfaro estas unu komando, kaj ĝi apartenas al la sama noto.

Post rekonekto konfirmu, ke la itineroj ankoraŭ estas tie, ĉar administrilo, kiu reaplikas la profilon, povas anstataŭigi permanajn itinerojn.

Tenu unu agordan posedanton, ĉar du administriloj, kiuj produktas la saman interfacon, fine malkonsentos. La manlibro de wg-quick dokumentas la itineran kaj DNS-konduton, kiun ĝi provizas.

Rilataj artikoloj