WireGuard podijeljeni tunel: postavite ga bez zadane rute

Podijeljeni tunel je popis prefiksa koji izostavljate. Stavite udaljene raspone na klijentsku stranu, adresu klijenta na poslužiteljsku stranu, pa pročitajte rute.

Podijeljeni tunel definira ono što izostavljate, a WireGuard tu odluku donosi u jednom polju. AllowedIPs na klijentskoj strani istodobno bira koje destinacije idu kroz tunel i filtrira koje se unutarnje izvorne adrese prihvaćaju, a wg-quick isti popis pretvara u rute hosta. Pogriješite li s popisom, tunel ili guta sve ili ne prenosi ništa.

Najprije odredite popis prefiksa

Zapišite destinacije koje moraju koristiti tunel prije nego što dotaknete konfiguracijsku datoteku. Uredske podmreže, raspon baze podataka, upravljačka mreža: svaki je prefiks s razlogom. Sve što nije na popisu ostaje na fizičkoj putanji, i to je cijela poanta dizajna.

Ako popis sadrži 0.0.0.0/0 ili ::/0, izgradili ste puni tunel i to trebate reći, jer se načini kvara i očekivanja DNS-a razlikuju.

Držite popis dovoljno kratkim da ga recenzent kasnije može provjeriti prema tablici usmjeravanja.

Klijentska konfiguracija: peer, AllowedIPs, DNS

Blok sučelja klijenta sadrži njegovu vlastitu adresu tunela i privatni ključ. Blok peera sadrži javni ključ poslužitelja, krajnju točku i prefikse iz prvog koraka:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs na klijentu je skup udaljenih destinacija, a ne vlastita adresa klijenta. DNS redak djeluje samo kroz integraciju razrješivača u wg-quick, pa će ga host bez podrške za resolvconf ili systemd-resolved ignorirati. PersistentKeepalive održava NAT mapiranje živim i nepotreban je na izravnoj putanji.

Komentirajte svaki prefiks uslugom koju opslužuje, inače će sljedeće uređivanje biti nagađanje.

Konfiguracija poslužitelja: suprotna perspektiva

Na poslužitelju peer zapis predstavlja klijenta, pa je njegov AllowedIPs adresa klijentova tunela, obično /32. To nije uredska podmreža. Kopiranje klijentova popisa u poslužiteljski zapis najčešća je pogreška kod podijeljenog tunela, i ona ili proširuje pristup ili kvari unutarnju provjeru izvora tijekom rukovanja.

Vlastita adresa sučelja poslužitelja i rute koje mu trebaju prema uredu odvojeni su od svakog peer zapisa.

Dvije datoteke, dvije perspektive, jedan skup prefiksa podijeljen između njih.

Pokrenite ga i pročitajte rute

Pokrenite sučelje podržanim upraviteljem, pa pogledajte što je instalirao, a ne što ste namjeravali. wg-quick izvodi rute iz AllowedIPs; ako profil postavlja Table = off, ništa se ne instalira i usmjeravanje je vaše. Pročitajte rutu za svaki prefiks i potvrdite da pokazuje na WireGuard sučelje. Prazan popis ruta obično znači da primijenjeni profil nije onaj koji ste uređivali.

Provjerite i brojače rukovanja, jer peer bez rukovanja ima problem s ključem, krajnjom točkom ili dostupnošću, a ne s usmjeravanjem.

Zapišite točan nalog koji ste koristili, jer će ga sljedeća osoba izvršiti pod pritiskom.

Provjerite obje strane, zatim zapišite vraćanje

Testirajte privatnu adresu, njezino interno ime i destinaciju koja mora ostati izravna. Ako privatna adresa radi, a izravna destinacija sada izlazi kroz tunel, popis prefiksa je preširok. Ako ime zakaže dok adresa radi, DNS redak nije stupio na snagu. Vraćanje je jedan nalog i pripada istoj bilješci.

Nakon ponovnog spajanja potvrdite da su rute još tamo, jer upravitelj koji ponovno primijeni profil može zamijeniti ručne rute.

Držite jednog vlasnika konfiguracije, jer će se dva upravitelja koja proizvode isto sučelje prije ili kasnije razići. Priručnik za wg-quick dokumentira ponašanje ruta i DNS-a koje pruža.

Povezani članci