Tunnel terpisah WireGuard: mengaturnya tanpa rute bawaan

Tunnel terpisah ditentukan oleh apa yang Anda tinggalkan, dan WireGuard mengambil keputusan itu dalam satu bidang. AllowedIPs pada peer klien sekaligus memilih tujuan mana yang lewat tunnel dan menyaring alamat sumber dalam mana yang diterima, dan wg-quick mengubah daftar yang sama menjadi rute host. Jika daftarnya salah, tunnel entah menelan semuanya atau tidak membawa apa pun.

Tentukan daftar prefiks lebih dulu

Tuliskan tujuan yang harus memakai tunnel sebelum menyentuh berkas konfigurasi. Subnet kantor, rentang basis data, jaringan manajemen: masing-masing adalah prefiks dengan alasan. Semua yang tidak ada di daftar tetap di jalur fisik, dan itulah seluruh maksud desainnya.

Jika daftar memuat 0.0.0.0/0 atau ::/0, Anda telah membangun tunnel penuh dan sebaiknya mengatakannya, karena mode kegagalan dan ekspektasi DNS berbeda.

Jaga daftar cukup pendek agar peninjau dapat mencocokkannya dengan tabel perutean nanti.

Konfigurasi klien: peer, AllowedIPs, DNS

Blok antarmuka klien memuat alamat tunnel dan kunci privatnya sendiri. Blok peer memuat kunci publik server, titik akhir, dan prefiks dari langkah pertama:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs pada klien adalah himpunan tujuan jarak jauh, bukan alamat klien itu sendiri. Baris DNS hanya berlaku melalui integrasi resolver wg-quick, jadi host tanpa dukungan resolvconf atau systemd-resolved akan mengabaikannya. PersistentKeepalive menjaga pemetaan NAT tetap hidup dan tidak perlu pada jalur langsung.

Komentari setiap prefiks dengan layanan yang dilayaninya, atau suntingan berikutnya akan menjadi tebakan.

Konfigurasi server: sudut pandang sebaliknya

Di server, entri peer mewakili klien, jadi AllowedIPs-nya adalah alamat tunnel klien, biasanya /32. Itu bukan subnet kantor. Menyalin daftar klien ke entri server adalah kesalahan tunnel terpisah yang paling umum, dan itu entah memperlebar akses atau merusak pemeriksaan sumber dalam saat jabat tangan.

Alamat antarmuka server sendiri, dan rute yang dibutuhkannya menuju kantor, terpisah dari entri peer mana pun.

Dua berkas, dua sudut pandang, satu himpunan prefiks yang dibagi di antara keduanya.

Nyalakan dan baca rutenya

Mulai antarmuka dengan manajer yang didukung, lalu lihat apa yang dipasangnya, bukan apa yang Anda maksudkan. wg-quick menurunkan rute dari AllowedIPs; jika profil menyetel Table = off, tidak ada yang dipasang dan perutean menjadi tanggung jawab Anda. Baca rute untuk setiap prefiks dan pastikan rute itu menunjuk ke antarmuka WireGuard. Daftar rute kosong biasanya berarti profil yang diterapkan bukan yang Anda sunting.

Periksa juga penghitung jabat tangan, karena peer tanpa jabat tangan punya masalah kunci, titik akhir, atau keterjangkauan, bukan masalah perutean.

Tuliskan perintah persis yang Anda pakai, karena orang berikutnya akan menjalankannya di bawah tekanan.

Verifikasi kedua sisi, lalu catat rollback-nya

Uji alamat privat, nama internalnya, dan tujuan yang harus tetap langsung. Jika alamat privat berfungsi dan tujuan langsung kini keluar lewat tunnel, daftar prefiks terlalu lebar. Jika nama gagal sementara alamat berfungsi, baris DNS tidak berlaku. Rollback adalah satu perintah, dan itu masuk ke catatan yang sama.

Setelah menyambung ulang, pastikan rute masih ada, karena manajer yang menerapkan ulang profil dapat mengganti rute manual.

Pegang satu pemilik konfigurasi, karena dua manajer yang menghasilkan antarmuka yang sama pada akhirnya akan berselisih. Panduan wg-quick mendokumentasikan perilaku rute dan DNS yang disediakannya.