WireGuard tunel zatitua: konfiguratu biderik lehenetsirik gabe

Tunel zatitua kanpoan uzten duzunak definitzen du, eta WireGuardek erabaki hori eremu bakarrean hartzen du. Bezeroaren parearen AllowedIPs-ek aldi berean hautatzen ditu tuneletik zein helmuga pasatzen diren eta zein barne-jatorri helbide onartzen diren, eta wg-quick-ek zerrenda bera ostalari-bide bihurtzen du. Zerrenda gaizki badago, tunelak dena irentsiko du edo ez du ezer eramango.

Erabaki aurrizki-zerrenda lehenengo

Idatzi tuneletik erabili behar duten helmugak konfigurazio-fitxategia ukitu aurretik. Bulegoko azpisareak, datu-basearen barrutia, kudeaketa-sarea: bakoitza arrazoi bat duen aurrizkia da. Zerrendan ez dagoen guztia bide fisikoan geratzen da, eta hori da diseinuaren helburu osoa.

Zerrendak 0.0.0.0/0 edo ::/0 badu, tunel osoa eraiki duzu eta hori esan beharko zenuke, zeren hutsegite-moduak eta DNS-itxaropenak desberdinak dira.

Mantendu zerrenda nahikoa labur berrikusle batek gero bideratze-taularekin alderatu ahal izan dezan.

Bezeroaren konfigurazioa: parekidea, AllowedIPs, DNS

Bezeroaren interfaze-blokeak bere tunel-helbidea eta gako pribatua ditu. Parekide-blokeak zerbitzariaren gako publikoa, amaierako puntua eta lehen urratseko aurrizkiak ditu:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

Bezeroaren AllowedIPs urruneko helmugen multzoa da, ez bezeroaren beraren helbidea. DNS lerroak wg-quick-en resolver integrazioaren bidez soilik eragiten du, beraz resolvconf edo systemd-resolved euskarririk ez duen ostalariak ez du kontuan hartuko. PersistentKeepalive-k NAT mapatzea bizirik mantentzen du eta ez da beharrezkoa bide zuzen batean.

Iruzkindu aurrizki bakoitza zerbitzatzen duen zerbitzuarekin, bestela hurrengo aldaketa asmakizuna izango da.

Zerbitzariaren konfigurazioa: kontrako ikuspegia

Zerbitzarian, parekide-sarrerak bezeroa adierazten du, beraz bere AllowedIPs bezeroaren tunel-helbidea da, normalean /32 bat. Ez da bulegoko azpisarea. Bezeroaren zerrenda zerbitzariaren sarrerara kopiatzea tunel zatituaren akats ohikoena da, eta bai sarbidea zabaltzen du, bai barne-jatorriaren egiaztapena hausten du eskuko agurunean.

Zerbitzariaren beraren interfaze-helbidea eta bulegorantz behar dituen bideak parekide-sarrera orotatik bereiziak dira.

Bi fitxategi, bi ikuspegi, aurrizki-multzo bat bien artean banatuta.

Igo ezazu eta irakurri bideak

Hasi interfazea onartutako kudeatzailearekin, eta gero begiratu zer instalatu zuen, ez zer asmo zenuen. wg-quick-ek AllowedIPs-etik eratortzen ditu bideak; profilak Table = off ezartzen badu, ez da ezer instalatzen eta bideratzea zurea da. Irakurri aurrizki bakoitzaren bidea eta egiaztatu WireGuard interfazera seinalatzen duela. Bide-zerrenda huts batek esan nahi du normalean aplikatutako profila ez dela editatu duzuna.

Egiaztatu eskuko agurunearen kontagailuak ere, zeren eskuko agurunik gabeko parekide batek gako, amaierako puntu edo irisgarritasun arazoa du, ez bideratzearena.

Idatzi erabili duzun komando zehatza, zeren hurrengo pertsonak presiopean exekutatuko du.

Egiaztatu bi aldeak eta gero erregistratu atzera-egitea

Probatu helbide pribatu bat, bere barne-izena eta zuzenean geratu behar duen helmuga bat. Helbide pribatuak funtzionatzen badu eta zuzenak orain tuneletik irteten badu, aurrizki-zerrenda zabalegia da. Izenak huts egiten badu helbideak funtzionatzen duen bitartean, DNS lerroak ez du eraginik izan. Atzera-egitea komando bat da, eta ohar berberean doa.

Berriz konektatu ondoren, egiaztatu bideak oraindik han daudela, zeren profila berriro aplikatzen duen kudeatzaile batek eskuzko bideak ordezkatu ditzake.

Mantendu konfigurazio-jabe bakarra, zeren interfaze bera sortzen duten bi kudeatzailek azkenean desadostasuna izango dute. wg-quick eskuliburuak ematen dituen bide eta DNS portaera dokumentatzen du.