Túnel dividido de WireGuard: configúreo sen ruta predeterminada

Un túnel dividido defínese polo que deixa fóra, e WireGuard toma esa decisión nun só campo. AllowedIPs do par do cliente elixe á vez que destinos pasan polo túnel e filtra que enderezos de orixe internos se aceptan, e wg-quick converte a mesma lista en rutas de host. Se a lista está mal, o túnel ou traga todo ou non transporta nada.

Decida primeiro a lista de prefixos

Anote os destinos que deben usar o túnel antes de tocar ningún ficheiro de configuración. Subredes de oficina, un rango de base de datos, unha rede de xestión: cada un é un prefixo cun motivo. Todo o que non está na lista queda na ruta física, e ese é todo o sentido do deseño.

Se a lista contén 0.0.0.0/0 ou ::/0, construíu un túnel completo e debería dicilo, porque os modos de fallo e as expectativas de DNS son distintos.

Manteña a lista o bastante curta para que un revisor poida contrastala despois coa táboa de encamiñamento.

Configuración do cliente: par, AllowedIPs, DNS

O bloque de interface do cliente contén o seu propio enderezo de túnel e a súa clave privada. O bloque de par contén a clave pública do servidor, o extremo e os prefixos do primeiro paso:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs no cliente é o conxunto de destinos remotos, non o enderezo propio do cliente. A liña DNS só surte efecto mediante a integración do resolvedor de wg-quick, así que un host sen soporte de resolvconf ou systemd-resolved ignoraraa. PersistentKeepalive mantén vivo unha correspondencia NAT e non fai falta nunha ruta directa.

Comente cada prefixo co servizo ao que serve, ou a próxima edición será unha conxectura.

Configuración do servidor: o punto de vista oposto

No servidor, a entrada de par representa o cliente, así que o seu AllowedIPs é o enderezo de túnel do cliente, normalmente un /32. Non é a subrede de oficina. Copiar a lista do cliente na entrada do servidor é o erro máis común do túnel dividido, e ou ben amplía o acceso ou ben rompe a comprobación de orixe interna no momento do aperto de mans.

O enderezo de interface do servidor e as rutas que necesita cara á oficina son independentes de calquera entrada de par.

Dous ficheiros, dous puntos de vista, un conxunto de prefixos repartido entre ambos.

Lénteo e lea as rutas

Inicie a interface co xestor compatible e logo mire o que instalou, non o que pretendía. wg-quick deriva as rutas de AllowedIPs; se o perfil establece Table = off, non se instala nada e o encamiñamento é cousa súa. Lea a ruta de cada prefixo e confirme que apunta á interface de WireGuard. Unha lista de rutas baleira adoita significar que o perfil aplicado non é o que editou.

Revise tamén os contadores de aperto de mans, porque un par sen aperto ten un problema de clave, extremo ou accesibilidade, non de encamiñamento.

Escriba o comando exacto que utilizou, porque a seguinte persoa executarao baixo presión.

Verifique ambos os lados e logo anote a reversión

Probe un enderezo privado, o seu nome interno e un destino que debe permanecer directo. Se o enderezo privado funciona e o directo agora sae polo túnel, a lista de prefixos é demasiado ampla. Se o nome falla mentres o enderezo funciona, a liña DNS non surtiu efecto. A reversión é un comando, e pertence á mesma nota.

Tras unha reconexión, confirme que as rutas seguen aí, porque un xestor que volve aplicar o perfil pode substituír as rutas manuais.

Manteña un só propietario da configuración, porque dous xestores que producen a mesma interface acabarán discrepando. O manual de wg-quick documenta o comportamento de rutas e DNS que ofrece.