WireGuard բաժանված թունել առանց լռելյայն երթուղու

Բաժանված թունելը սահմանվում է նրանով, ինչ դուք բաց եք թողնում, և WireGuard-ը այդ որոշումը կայացնում է մեկ դաշտում։ Հաճախորդի հավասարակիցի AllowedIPs-ը միաժամանակ ընտրում է, թե որ նպատակակետերն են անցնում թունելով, և զտում է, թե որ ներքին աղբյուրի հասցեներն են ընդունվում, իսկ wg-quick-ը նույն ցանկը վերածում է հոսթի երթուղիների։ Սխալեք ցանկում, և թունելը կա՛մ կլանի ամեն ինչ, կա՛մ ոչինչ չի տեղափոխի։

Նախ որոշեք նախածանցերի ցանկը

Գրեք այն նպատակակետերը, որոնք պետք է օգտագործեն թունելը, նախքան կարգավորումների ֆայլին դիպչելը։ Գրասենյակի ենթացանցեր, տվյալների բազայի միջակայք, կառավարման ցանց՝ յուրաքանչյուրը նախածանց է՝ պատճառով։ Ամեն ինչ, ինչը ցանկում չէ, մնում է ֆիզիկական ուղու վրա, և դա է դիզայնի ամբողջ իմաստը։

Եթե ցանկը պարունակում է 0.0.0.0/0 կամ ::/0, դուք կառուցել եք ամբողջական թունել և պետք է ասեք դա, որովհետև խափանումների ռեժիմներն ու DNS սպասումները տարբեր են։

Ցանկը պահեք բավական կարճ, որպեսզի վերանայողը հետագայում կարողանա այն համեմատել երթուղային աղյուսակի հետ։

Հաճախորդի կարգավորում՝ հավասարակից, AllowedIPs, DNS

Հաճախորդի ինտերֆեյսի բլոկը պարունակում է իր սեփական թունելի հասցեն և գաղտնի բանալին։ Հավասարակիցի բլոկը պարունակում է սերվերի հանրային բանալին, վերջնակետը և առաջին քայլի նախածանցները.

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

Հաճախորդի AllowedIPs-ը հեռավոր նպատակակետերի բազմությունն է, ոչ թե հաճախորդի սեփական հասցեն։ DNS տողը գործում է միայն wg-quick-ի լուծիչի ինտեգրման միջոցով, ուստի resolvconf կամ systemd-resolved աջակցություն չունեցող հոսթը կանտեսի այն։ PersistentKeepalive-ը կենդանի է պահում NAT քարտեզագրումը և ավելորդ է ուղիղ ուղու վրա։

Մեկնաբանեք յուրաքանչյուր նախածանց այն ծառայությամբ, որին այն սպասարկում է, հակառակ դեպքում հաջորդ խմբագրումը կլինի գուշակություն։

Սերվերի կարգավորում՝ հակառակ տեսանկյունը

Սերվերի վրա հավասարակիցի գրառումը ներկայացնում է հաճախորդին, ուստի նրա AllowedIPs-ը հաճախորդի թունելի հասցեն է, սովորաբար /32։ Սա գրասենյակի ենթացանցը չէ։ Հաճախորդի ցանկը սերվերի գրառման մեջ պատճենելը բաժանված թունելի ամենատարածված սխալն է, և այն կա՛մ լայնացնում է հասանելիությունը, կա՛մ կոտրում է ներքին աղբյուրի ստուգումը ձեռքսեղմման պահին։

Սերվերի սեփական ինտերֆեյսի հասցեն և գրասենյակի ուղղությամբ նրան անհրաժեշտ երթուղիները առանձին են ցանկացած հավասարակիցի գրառումից։

Երկու ֆայլ՝ երկու տեսանկյուն, մեկ նախածանցների հավաքածու՝ բաժանված նրանց միջև։

Բարձրացրեք այն և կարդացեք երթուղիները

Մեկնարկեք ինտերֆեյսը աջակցվող կառավարիչով, ապա նայեք, թե ինչ է տեղադրել, այլ ոչ թե ինչ էիք մտադրվել։ wg-quick-ը երթուղիները ածանցում է AllowedIPs-ից. եթե պրոֆիլը սահմանում է Table = off, ոչինչ չի տեղադրվում, և երթուղավորումը ձերն է։ Կարդացեք յուրաքանչյուր նախածանցի երթուղին և հաստատեք, որ այն ուղղված է WireGuard ինտերֆեյսին։ Դատարկ երթուղիների ցանկը սովորաբար նշանակում է, որ կիրառված պրոֆիլը այն չէ, որը դուք խմբագրել եք։

Ստուգեք նաև ձեռքսեղմման հաշվիչները, որովհետև առանց ձեռքսեղմման հավասարակիցը բանալու, վերջնակետի կամ հասանելիության խնդիր ունի, ոչ թե երթուղավորման։

Գրեք այն ճշգրիտ հրամանը, որն օգտագործել եք, որովհետև հաջորդ մարդը այն կգործարկի ճնշման տակ։

Ստուգեք երկու կողմերը, ապա գրանցեք հետընթացը

Փորձարկեք մասնավոր հասցե, դրա ներքին անունը և նպատակակետ, որը պետք է մնա ուղիղ։ Եթե մասնավոր հասցեն աշխատում է, և ուղիղ նպատակակետն այժմ դուրս է գալիս թունելով, նախածանցերի ցանկը չափազանց լայն է։ Եթե անունը ձախողվում է, մինչ հասցեն աշխատում է, DNS տողն ուժի մեջ չի մտել։ Հետընթացը մեկ հրաման է, և այն պատկանում է նույն գրառմանը։

Վերամիացումից հետո հաստատեք, որ երթուղիները դեռ այնտեղ են, որովհետև պրոֆիլը նորից կիրառող կառավարիչը կարող է փոխարինել ձեռքով երթուղիները։

Պահեք մեկ կարգավորումների սեփականատեր, որովհետև նույն ինտերֆեյսը ստեղծող երկու կառավարիչներ ի վերջո կհակասեն։ wg-quick-ի ձեռնարկը փաստագրում է տրամադրվող երթուղու և DNS վարքը։