WireGuard splitst tunnel: ynstelle sûnder standertrûte

In splitst tunnel is de foarheaksel-list dy't jo weilitte. Set de fiere berikken by de kliïntpeer, it adres fan 'e kliïnt by de serverpeer, en lês dan de rûtes.

In splitst tunnel wurdt bepaald troch wat jo weilitte, en WireGuard nimt dy beslissing yn ien fjild. De AllowedIPs fan 'e kliïntpeer kiest tagelyk hokker bestimmings troch de tunnel geane en filteret hokker ynterne boarneadressen akseptearre wurde, en wg-quick makket deselde list ta hostrûtes. Krijt jo dy list ferkeard, dan slokt de tunnel alles op of draacht neat.

Bepaal earst de foarheaksel-list

Skriuw de bestimmings op dy't de tunnel brûke moatte foardat jo in konfiguraasjebestân oanreitsje. Kantoar-subnetten, in databankberik, in behear-netwurk: elk is in foarheaksel mei in reden. Alles wat net op 'e list stiet, bliuwt op it fysike paad, en dat is it hiele punt fan it ûntwerp.

As de list 0.0.0.0/0 of ::/0 befettet, hawwe jo in folsleine tunnel boud en moatte jo dat sizze, want de flatermodi en DNS-ferwachtings ferskille.

Hâld de list koart genôch dat in beoardieler dy letter tsjin de rûtetabel oan hâlde kin.

Kliïntkonfiguraasje: peer, AllowedIPs, DNS

It ynterfaceblok fan 'e kliïnt befettet syn eigen tunneladres en priveekaaai. It peerblok befettet de publike kaaai fan 'e server, it einpunt en de foarheaksels fan stap ien:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs op 'e kliïnt is de set fan fiere bestimmings, net it eigen adres fan 'e kliïnt. De DNS-regel wurket allinnich fia de resolver-yntegraasje fan wg-quick, dat in host sûnder stipe foar resolvconf of systemd-resolved sil it negearje. PersistentKeepalive hâldt in NAT-mapping libben en is oerstallich op in direkt paad.

Kommentearje elk foarheaksel mei de tsjinst dy't it betsjinnet, oars is de folgjende bewurking giswurk.

Serverkonfiguraasje: it tsjinoerstelde eachpunt

Op 'e server fertsjintwurdiget de peer-yngong de kliïnt, dat syn AllowedIPs is it tunneladres fan 'e kliïnt, meastentiids in /32. It is net it kantoar-subnet. De list fan 'e kliïnt nei de server-yngong kopiearje is de meast foarkommende flater by splitste tunnels, en it ferbreedet de tagong of brekt de ynterne boarnekontrôle by de hânskud.

It eigen ynterfaceadres fan 'e server, en de rûtes dy't er nei it kantoar nedich hat, binne apart fan elke peer-yngong.

Twa bestannen, twa eachpunten, ien set foarheaksels tusken har ferparte.

Bring it omheech en lês de rûtes

Start it ynterface mei de stipe behearder en sjoch dan wat er ynstallearre hat, net wat jo fan doel wiene. wg-quick liedt rûtes ôf fan AllowedIPs; as it profyl Table = off set, wurdt neat ynstallearre en is de rûtebepaling oan jo. Lês de rûte foar elk foarheaksel en befêstigje dat er nei it WireGuard-ynterface wiist. In lege rûtelist betsjut meastentiids dat it tapaste profyl net it profyl is dat jo bewurke hawwe.

Kontrolearje ek de hânskudtellers, want in peer sûnder hânskud hat in kaaai-, einpunt- of berikberensprobleem, net in rûteprobleem.

Skriuw it krekte kommando op dat jo brûkt hawwe, want de folgjende persoan sil it ûnder druk útfiere.

Ferifiearje beide kanten en skriuw dan de weromsetning op

Test in priveeadres, syn ynterne namme en in bestimmingsplak dat direkt bliuwe moat. As it priveeadres wurket en it direkte bestimmingsplak no troch de tunnel giet, is de foarheaksel-list te breed. As de namme mislearret wylst it adres wurket, hat de DNS-regel gjin effekt hân. Weromsette is ien kommando, en it heart yn deselde notysje.

Befêstigje nei in werferbining dat de rûtes der noch binne, want in behearder dy't it profyl opnij tapast kin hânmjittige rûtes ferfange.

Hâld ien konfiguraasje-eigner, want twa behearders dy't itselde ynterface meitsje, sille úteinlik ferskille. De wg-quick-hânlieding dokumintearret it rûte- en DNS-gedrach dat it biedt.

Relatearre artikelen