WireGuard jaettu tunneli: määritä ilman oletusreittiä

Jaetun tunnelin määrittää se, minkä jätät pois, ja WireGuard tekee tämän päätöksen yhdessä kentässä. Asiakkaan vertaisen AllowedIPs valitsee samalla, mitkä kohteet kulkevat tunnelin kautta, ja suodattaa, mitkä sisäiset lähdeosoitteet hyväksytään, ja wg-quick muuttaa saman luettelon isäntäreiteiksi. Jos luettelo on väärä, tunneli joko nielee kaiken tai ei kanna mitään.

Päätä ensin etuliiteluettelo

Kirjoita muistiin kohteet, joiden on käytettävä tunnelia, ennen kuin kosket asetustiedostoon. Toimiston aliverkot, tietokanta-alue, hallintaverkko: jokainen on etuliite, jolla on syy. Kaikki, mikä ei ole luettelossa, jää fyysiselle polulle, ja se on koko suunnittelun pointti.

Jos luettelo sisältää 0.0.0.0/0 tai ::/0, olet rakentanut täyden tunnelin ja sinun pitäisi sanoa se, koska vikaantumistilat ja DNS-odotukset ovat erilaisia.

Pidä luettelo riittävän lyhyenä, jotta katselmoija voi myöhemmin verrata sitä reititystauluun.

Asiakkaan kokoonpano: vertainen, AllowedIPs, DNS

Asiakkaan liitännän lohko sisältää sen oman tunneliosoitteen ja yksityisen avaimen. Vertaisen lohko sisältää palvelimen julkisen avaimen, päätepisteen ja ensimmäisen vaiheen etuliitteet:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

Asiakkaan AllowedIPs on etäkohteiden joukko, ei asiakkaan oma osoite. DNS-rivi vaikuttaa vain wg-quickin resolver-integraation kautta, joten isäntä ilman resolvconfin tai systemd-resolvedin tukea jättää sen huomiotta. PersistentKeepalive pitää NAT-mappauksen elossa, eikä sitä tarvita suoralla polulla.

Kommentoi jokaista etuliitettä sillä palvelulla, jota se palvelee, muuten seuraava muokkaus on arvailua.

Palvelimen kokoonpano: vastakkainen näkökulma

Palvelimella vertaisen merkintä edustaa asiakasta, joten sen AllowedIPs on asiakkaan tunneliosoite, yleensä /32. Se ei ole toimiston aliverkko. Asiakkaan luettelon kopioiminen palvelimen merkintään on jaetun tunnelin yleisin virhe, ja se joko laajentaa pääsyä tai rikkoo sisäisen lähdetarkistuksen kättelyn aikana.

Palvelimen oma liitäntäosoite ja reitit, joita se tarvitsee toimistoa kohti, ovat erillään jokaisesta vertaisen merkinnästä.

Kaksi tiedostoa, kaksi näkökulmaa, yksi etuliitejoukko niiden kesken jaettuna.

Nosta se pystyyn ja lue reitit

Käynnistä liitäntä tuetulla hallinnalla ja katso sitten, mitä se asensi, älä sitä, mitä aioit. wg-quick johtaa reitit AllowedIPsistä; jos profiili asettaa Table = off, mitään ei asenneta ja reititys on sinun. Lue jokaisen etuliitteen reitti ja varmista, että se osoittaa WireGuard-liitäntään. Tyhjä reittiluettelo tarkoittaa yleensä, että käytetty profiili ei ole se, jota muokkasit.

Tarkista myös kättelylaskurit, koska vertainen ilman kättelyä kärsii avain-, päätepiste- tai tavoitettavuusongelmasta, ei reititysongelmasta.

Kirjoita ylös täsmällinen komento, jota käytit, koska seuraava henkilö suorittaa sen paineen alla.

Varmista molemmat puolet ja kirjaa sitten palautus

Testaa yksityistä osoitetta, sen sisäistä nimeä ja kohdetta, jonka on pysyttävä suorana. Jos yksityinen osoite toimii ja suora kohde lähtee nyt tunnelin kautta, etuliiteluettelo on liian leveä. Jos nimi epäonnistuu osoitteen toimiessa, DNS-rivi ei tullut voimaan. Palautus on yksi komento, ja se kuuluu samaan muistiinpanoon.

Tarkista yhteyden uudelleenmuodostuksen jälkeen, että reitit ovat edelleen paikallaan, koska profiilin uudelleen käyttöön ottava hallinta voi korvata manuaaliset reitit.

Pidä yksi kokoonpanon omistaja, koska kaksi saman liitännän tuottavaa hallintaa riitaantuu lopulta. wg-quickin käsikirja dokumentoi tarjoamansa reitti- ja DNS-käyttäytymisen.