WireGuard विभाजित टनल: डिफ़ॉल्ट रूट के बिना कॉन्फ़िगर करें

विभाजित टनल इससे परिभाषित होता है कि आप क्या बाहर छोड़ते हैं, और WireGuard यह निर्णय एक ही फ़ील्ड में लेता है। क्लाइंट पीयर का AllowedIPs एक साथ तय करता है कि कौन-से गंतव्य टनल से जाएंगे और कौन-से आंतरिक स्रोत पते स्वीकार किए जाएंगे, और wg-quick उसी सूची को होस्ट रूट में बदल देता है। सूची गलत हो तो टनल या तो सब कुछ निगल जाता है या कुछ भी नहीं ढोता।

पहले प्रीफ़िक्स सूची तय करें

कॉन्फ़िग फ़ाइल छूने से पहले वे गंतव्य लिख लें जिन्हें टनल का उपयोग करना है। कार्यालय सबनेट, एक डेटाबेस रेंज, एक प्रबंधन नेटवर्क: हर एक कारण वाला प्रीफ़िक्स है। जो सूची में नहीं है वह भौतिक पथ पर रहता है, और डिज़ाइन का पूरा उद्देश्य यही है।

अगर सूची में 0.0.0.0/0 या ::/0 है, तो आपने पूरा टनल बनाया है और यह बताना चाहिए, क्योंकि विफलता के तरीके और DNS अपेक्षाएँ अलग हैं।

सूची इतनी छोटी रखें कि समीक्षक बाद में इसे रूटिंग तालिका से मिला सके।

क्लाइंट कॉन्फ़िग: पीयर, AllowedIPs, DNS

क्लाइंट के इंटरफ़ेस ब्लॉक में उसका अपना टनल पता और निजी कुंजी होती है। पीयर ब्लॉक में सर्वर की सार्वजनिक कुंजी, एंडपॉइंट और पहले चरण के प्रीफ़िक्स होते हैं:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

क्लाइंट पर AllowedIPs दूरस्थ गंतव्यों का समुच्चय है, क्लाइंट का अपना पता नहीं। DNS पंक्ति केवल wg-quick के रिज़ॉल्वर एकीकरण से प्रभावी होती है, इसलिए resolvconf या systemd-resolved समर्थन के बिना होस्ट इसे अनदेखा करेगा। PersistentKeepalive NAT मैपिंग को जीवित रखता है और सीधे पथ पर अनावश्यक है।

हर प्रीफ़िक्स पर उस सेवा की टिप्पणी करें जिसकी वह सेवा करता है, वरना अगला संपादन अनुमान होगा।

सर्वर कॉन्फ़िग: उल्टा दृष्टिकोण

सर्वर पर पीयर प्रविष्टि क्लाइंट का प्रतिनिधित्व करती है, इसलिए उसका AllowedIPs क्लाइंट का टनल पता है, आमतौर पर /32। यह कार्यालय सबनेट नहीं है। क्लाइंट की सूची सर्वर प्रविष्टि में कॉपी करना विभाजित टनल की सबसे आम गलती है, और यह या तो पहुँच बढ़ा देती है या हैंडशेक के समय आंतरिक स्रोत जाँच तोड़ देती है।

सर्वर का अपना इंटरफ़ेस पता, और कार्यालय की ओर उसे जो रूट चाहिए, किसी भी पीयर प्रविष्टि से अलग हैं।

दो फ़ाइलें, दो दृष्टिकोण, एक प्रीफ़िक्स समुच्चय उनके बीच बँटा हुआ।

इसे चालू करें और रूट पढ़ें

इंटरफ़ेस को समर्थित प्रबंधक से शुरू करें, फिर देखें कि उसने क्या इंस्टॉल किया, न कि आपका क्या इरादा था। wg-quick AllowedIPs से रूट निकालता है; अगर प्रोफ़ाइल Table = off सेट करता है, तो कुछ भी इंस्टॉल नहीं होता और रूटिंग आपकी है। हर प्रीफ़िक्स का रूट पढ़ें और पुष्टि करें कि वह WireGuard इंटरफ़ेस की ओर इंगित करता है। खाली रूट सूची का अर्थ आमतौर पर यह है कि लागू प्रोफ़ाइल वह नहीं है जिसे आपने संपादित किया।

हैंडशेक काउंटर भी जाँचें, क्योंकि बिना हैंडशेक वाले पीयर में कुंजी, एंडपॉइंट या पहुँच की समस्या होती है, रूटिंग की नहीं।

जो सटीक कमांड आपने इस्तेमाल किया उसे लिख लें, क्योंकि अगला व्यक्ति उसे दबाव में चलाएगा।

दोनों पक्ष जाँचें, फिर रोलबैक दर्ज करें

एक निजी पता, उसका आंतरिक नाम और ऐसा गंतव्य जाँचें जिसे सीधा रहना चाहिए। अगर निजी पता काम करता है और सीधा गंतव्य अब टनल से निकलता है, तो प्रीफ़िक्स सूची बहुत चौड़ी है। अगर नाम विफल होता है जबकि पता काम करता है, तो DNS पंक्ति प्रभावी नहीं हुई। रोलबैक एक कमांड है, और वह उसी नोट में आता है।

फिर से कनेक्ट होने के बाद पुष्टि करें कि रूट अभी भी हैं, क्योंकि प्रोफ़ाइल दोबारा लागू करने वाला प्रबंधक मैन्युअल रूट बदल सकता है।

एक ही कॉन्फ़िग स्वामी रखें, क्योंकि एक ही इंटरफ़ेस बनाने वाले दो प्रबंधक अंततः असहमत होंगे। wg-quick मैनुअल उस रूट और DNS व्यवहार का दस्तावेज़ीकरण करता है जो वह प्रदान करता है।