WireGuard jaotatud tunnel: seadistamine ilma vaikimisi marsruudita

Jaotatud tunneli määrab see, mille välja jätate, ja WireGuard teeb selle otsuse ühes väljas. Kliendi peer'i AllowedIPs valib korraga, millised sihtkohad tunnelist lähevad, ja filtreerib, millised sisemised lähteaadressid vastu võetakse, ning wg-quick muudab sama loendi hosti marsruutideks. Kui loend on vale, neelab tunnel kas kõik või ei kanna midagi.

Kõigepealt määrake eesliidete loend

Kirjutage üles sihtkohad, mis peavad tunnelit kasutama, enne kui puudutate konfiguratsioonifaili. Kontori alamsuvõrgud, andmebaasi vahemik, haldusvõrk: igaüks on eesliide, millel on põhjus. Kõik, mis loendis pole, jääb füüsilisele teele, ja see ongi kogu disaini mõte.

Kui loend sisaldab 0.0.0.0/0 või ::/0, olete ehitanud täieliku tunneli ja peaksite seda ütlema, sest tõrkeviisid ja DNS-i ootused erinevad.

Hoidke loend piisavalt lühike, et ülevaataja saaks selle hiljem marsruutimistabeliga võrrelda.

Kliendi konfiguratsioon: peer, AllowedIPs, DNS

Kliendi liidese plokk sisaldab tema enda tunneli aadressi ja privaatvõtit. Peer'i plokk sisaldab serveri avalikku võtit, lõpp-punkti ja esimese sammu eesliiteid:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

Kliendi AllowedIPs on kaugsihtkohtade hulk, mitte kliendi enda aadress. DNS-i rida mõjub ainult wg-quick'i resolveri integreerimise kaudu, seega host, millel pole resolvconfi või systemd-resolvedi tuge, jätab selle tähelepanuta. PersistentKeepalive hoiab NAT-i vastenduse elus ja on otsesel teel tarbetu.

Kommenteerige iga eesliidet teenusega, mida see teenindab, muidu on järgmine muudatus oletus.

Serveri konfiguratsioon: vastupidine vaatepunkt

Serveril esindab peer'i kirje klienti, seega on selle AllowedIPs kliendi tunneli aadress, tavaliselt /32. See ei ole kontori alamsuvõrk. Kliendi loendi kopeerimine serveri kirjesse on jaotatud tunneli kõige levinum viga ja see kas laiendab juurdepääsu või rikub käepigistuse ajal sisemise lähtekoha kontrolli.

Serveri enda liidese aadress ja marsruudid, mida ta kontori suunas vajab, on igast peer'i kirjest eraldi.

Kaks faili, kaks vaatepunkti, üks eesliidete kogum nende vahel jaotatud.

Tõstke see üles ja lugege marsruudid

Käivitage liides toetatud halduriga ja seejärel vaadake, mida see paigaldas, mitte mida kavatsesite. wg-quick tuletab marsruudid AllowedIPsist; kui profiil seab Table = off, ei paigaldata midagi ja marsruutimine on teie asi. Lugege iga eesliite marsruut ja kinnitage, et see osutab WireGuardi liidesele. Tühi marsruudiloend tähendab tavaliselt, et rakendatud profiil pole see, mida muutsite.

Kontrollige ka käepigistuse loendureid, sest ilma käepigistuseta peer'il on võtme-, lõpp-punkti või kättesaadavuse probleem, mitte marsruutimise oma.

Kirjutage üles täpne käsk, mida kasutasite, sest järgmine inimene käivitab selle surve all.

Kontrollige mõlemat poolt ja kirjutage siis tagasipööramine üles

Testige privaatset aadressi, selle sisemist nime ja sihtkohta, mis peab jääma otseseks. Kui privaatne aadress töötab ja otsene sihtkoht väljub nüüd tunnelist, on eesliidete loend liiga lai. Kui nimi ebaõnnestub, samal ajal kui aadress töötab, ei jõustunud DNS-i rida. Tagasipööramine on üks käsk ja see kuulub samasse märkmesse.

Pärast uuesti ühendamist kinnitage, et marsruudid on endiselt olemas, sest profiili uuesti rakendav haldur võib käsitsi marsruudid asendada.

Hoidke üks konfiguratsiooni omanik, sest kaks haldurit, mis toodavad sama liidese, lähevad lõpuks vastuollu. wg-quick'i käsiraamat dokumenteerib marsruudi- ja DNS-i käitumise, mida see pakub.