AllowedIPs er leiðarlisti, ekki eldveggjarregla

Flestir lesa AllowedIPs sem heimildarlista, mengið af netföngum sem mega tengjast jafningja, nokkurn veginn eins og eldveggjarregla skrifuð fyrir göng. Það er ekki rétt. Reiturinn er leiðatöfla sem vinnur í báðar áttir: hann velur jafningja fyrir útfarandi pakka og staðfestir uppruna innkomandi pakka. Að lesa hann sem aðgangslista framleiðir stillingar sem beina umferð sem enginn bað um.

Einn reitur, tveir lesendur: val útleiðar og upprunaskoðun

Hjá biðlara ráða forskeytin hvaða áfangastaðir fara til þess jafnings og hverjir vera á venjulega netinu. Þess vegna grípur færsla fyrir 0.0.0.0/0 hvern IPv4 áfangastað, og þess vegna sendir innflutningur á fullri göngusniði venjulega vafrun í gegnum fjartölvuna. Þröngar færslur gera hið gagnstæða: þær beina aðeins netunum sem þú skráðir og láta allt annað vera þar sem það var. Kaflinn um dulritunarlyklaleiðir í WireGuard skjölunum setur bæði verkefnin fram á einum stað: val á útfarandi jafningja og staðfestingu innkomandi uppruna.

Á þjóninum lýsir sami reitur hvaða upprunanetföng hver jafningi má nota. Þetta er dulritunarlegt eftirlit en ekki pakkasía: pakki þar sem innri uppruni passar ekki við lista jafningsins er hent inni í WireGuard áður en nokkur eldveggur hýsilsins sér hann. Bæði verkefnin deila einum lista, og einmitt þess vegna hegðar listi sem er afritaður annars staðar sér rangt á stað sem þú hafðir ekki í huga.

Biðlarablokkin er þar sem mest af þessari ruglingi byrjar. Klofin göng nefna fjarnetin, og full göng eru sami reitur með sjálfgefnu forskeyti:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

Báðar myndir eru heildstæðar út af fyrir sig, og þær eru valkostir en ekki skref. Fyrri sendir aðeins þau tvö net í gegnum göngin; seinni sendir hvern áfangastað, og færslan ::/0 bætir IPv6 við IPv4 sjálfgefna gildið. Hvort sem þú velur, eru þessi forskeyti öll leiðarákvörðunin fyrir þann jafningja þegar wg-quick byrjar að setja upp leiðir.

Hnúturinn þarf annan lista

Hnútur skráir göngufang hvers biðlara sem hýsilforskseyti, auk hvers nets sem er raunverulega bak við þann biðlara. Að afrita breiðan lista biðlara á hvern jafning hnútsins segir hnútnum að margir jafningar megi nota sömu netföngin sem uppruna, og það er ekki netfangaskipulag. Reiturinn Endpoint tilheyrir allt öðru lagi: hann nefnir ytra netfang og port jafningsins, aldrei áfangastað inni í göngunum.

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

Hýsilforskseytið ber göngufangið og netforskseytið ber það sem er bak við biðlarann, og bæði eru nauðsynleg. Án hýsilforskseytisins getur hnúturinn ekki skilað eigin umferð biðlarans, og án netforskseytisins verður LANið bak við hann óaðgengilegt; jafningi sem hefur ekkert bak við sig fær aðeins hýsilforskseytið.

Að sleppa uppsetningu leiða skilur eftir bil

wg-quick, hjálparinn sem ræsir tengi úr stillingaskrá, setur upp tengisnetföng og leiðir sem hluta af þeirri vinnu. Að setja Table = off segir hjálparanum að sleppa leiðarvinnunni, sem setur ekki upp staðgengla og gerir einkanetið ekki aðgengilegt. Þegar sjálfvirkar leiðir vinna verkið þegar, er skýrari stilling að nefna forskeytin sem þú þarft. Að slökkva á leiðastýringu og láta staðgengilinn óskrifaðan er ekki hönnun, heldur yfirsjón.

Grunnverkfærið wg hegðar sér öðruvísi: það stillir tengið og snertir aldrei leiðir, svo uppsetning byggð beint á því þarf eigin leiðarskipanir. Leiðbeiningar skrifaðar fyrir eitt verkfæri geta virst rangar þegar fylgt er eftir með hinu. Árangursríkt ping er líka veik sönnun, því það prófar eina leið en ekki hverja þá forritaleið sem þú þarft.

DNS og IPv6 eru ákveðin í sitthvoru lagi

Athugaðu DNS-þjónanetfangið sem göngin auglýsa og staðfestu að leið að því netfangi sé til í gegnum forskeytin sem þú valdir. Stilling þýðanda gerir þýðandann ekki aðgengilegan, og að þrengja göng getur hljóðlega fjarlægt leiðina sem áður lá þangað. Skoðaðu IPv6 líka sérstaklega, því rétt IPv4 skipting segir ekkert um IPv6 sjálfgefna leið sem bendir enn á líkamlegu tenginguna. Þrjár aðskildar ákvarðanir geta breyst í einu þegar þú breytir einni jafningjablokk.

Opnaðu síðan eina einkaaðlönd og eina venjulega vefsíðu frá þekktri upphafsstillingu. Ef aðlöndin svarar og vafrun fer enn út um staðbundnu tenginguna, gerir skiptingin það sem þú baðst um. Ef vafrun brotnar á sama augnabliki hefur göngin tekið sjálfgefnu leiðina og forskeytalistinn er staðurinn til að skoða.