WireGuard-ის გაყოფილი გვირაბი: კონფიგურაცია ნაგულისხმევი მარშრუტის გარეშე

გაყოფილი გვირაბი განისაზღვრება იმით, რასაც გარეთ ტოვებთ, და WireGuard ამ გადაწყვეტილებას ერთ ველში იღებს. კლიენტის თანაბრის AllowedIPs ერთდროულად ირჩევს, რომელი დანიშნულებები გაივლის გვირაბში და ფილტრავს, რომელი შიდა წყაროს მისამართები მიიღება, ხოლო wg-quick იმავე სიას ჰოსტის მარშრუტებად აქცევს. თუ სია არასწორია, გვირაბი ან ყველაფერს ყლაპავს, ან არაფერს ატარებს.

ჯერ განსაზღვრეთ პრეფიქსების სია

ჩამოწერეთ დანიშნულებები, რომლებმაც უნდა გამოიყენონ გვირაბი, სანამ კონფიგურაციის ფაილს შეეხებით. ოფისის ქვექსელები, მონაცემთა ბაზის დიაპაზონი, მართვის ქსელი: თითოეული პრეფიქსია მიზეზით. ყველაფერი, რაც სიაში არ არის, ფიზიკურ გზაზე რჩება და ეს არის დიზაინის მთელი აზრი.

თუ სია შეიცავს 0.0.0.0/0 ან ::/0, თქვენ ააგეთ სრული გვირაბი და ეს უნდა თქვათ, რადგან მარცხის რეჟიმები და DNS მოლოდინები განსხვავებულია.

შეინახეთ სია საკმარისად მოკლე, რომ მიმომხილველმა მოგვიანებით შეძლოს მისი შედარება მარშრუტიზაციის ცხრილთან.

კლიენტის კონფიგურაცია: თანაბარი, AllowedIPs, DNS

კლიენტის ინტერფეისის ბლოკი შეიცავს მის საკუთარ გვირაბის მისამართსა და პირად გასაღებს. თანაბრის ბლოკი შეიცავს სერვერის საჯარო გასაღებს, საბოლოო წერტილს და პირველი ნაბიჯის პრეფიქსებს:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs კლიენტზე არის დისტანციური დანიშნულებების სიმრავლე და არა კლიენტის საკუთარი მისამართი. DNS სტრიქონი მოქმედებს მხოლოდ wg-quick-ის გამხსნელის ინტეგრაციის გზით, ამიტომ resolvconf ან systemd-resolved მხარდაჭერის გარეშე ჰოსტი მას უგულებელყოფს. PersistentKeepalive ინარჩუნებს NAT-ის დაბმას ცოცხალს და ზედმეტია პირდაპირ გზაზე.

დააკომენტარეთ თითოეული პრეფიქსი იმ სერვისით, რომელსაც ემსახურება, თორემ შემდეგი ცვლილება ვარაუდი იქნება.

სერვერის კონფიგურაცია: საპირისპირო თვალსაზრისი

სერვერზე თანაბრის ჩანაწერი წარმოადგენს კლიენტს, ამიტომ მისი AllowedIPs არის კლიენტის გვირაბის მისამართი, ჩვეულებრივ /32. ეს არ არის ოფისის ქვექსელი. კლიენტის სიის სერვერის ჩანაწერში კოპირება გაყოფილი გვირაბის ყველაზე გავრცელებული შეცდომაა და ის ან აფართოებს წვდომას, ან ამტვრევს შიდა წყაროს შემოწმებას ხელის ჩამორთმევის დროს.

სერვერის საკუთარი ინტერფეისის მისამართი და მარშრუტები, რომლებიც მას ოფისისკენ სჭირდება, გამოყოფილია ნებისმიერი თანაბრის ჩანაწერისგან.

ორი ფაილი, ორი თვალსაზრისი, ერთი პრეფიქსების ნაკრები მათ შორის გაყოფილი.

აუშვით ის და წაიკითხეთ მარშრუტები

დაიწყეთ ინტერფეისი მხარდაჭერილი მმართველით, შემდეგ შეხედეთ, რა დააყენა მან და არა რა გქონდათ განზრახული. wg-quick მარშრუტებს AllowedIPs-იდან გამოიმუშავებს; თუ პროფილი აყენებს Table = off-ს, არაფერი დაყენდება და მარშრუტიზაცია თქვენია. წაიკითხეთ თითოეული პრეფიქსის მარშრუტი და დაადასტურეთ, რომ ის WireGuard-ის ინტერფეისზე მიუთითებს. ცარიელი მარშრუტების სია ჩვეულებრივ ნიშნავს, რომ გამოყენებული პროფილი არ არის ის, რომელიც თქვენ შეცვალეთ.

შეამოწმეთ ხელის ჩამორთმევის მთვლელებიც, რადგან ხელის ჩამორთმევის გარეშე თანაბარს აქვს გასაღების, საბოლოო წერტილის ან ხელმისაწვდომობის პრობლემა და არა მარშრუტიზაციის.

ჩაწერეთ ზუსტი ბრძანება, რომელიც გამოიყენეთ, რადგან შემდეგი ადამიანი მას ზეწოლის ქვეშ გაუშვებს.

შეამოწმეთ ორივე მხარე, შემდეგ ჩაწერეთ უკუქცევა

გამოსცადეთ პირადი მისამართი, მისი შიდა სახელი და დანიშნულება, რომელიც პირდაპირ უნდა დარჩეს. თუ პირადი მისამართი მუშაობს და პირდაპირი დანიშნულება ახლა გვირაბიდან გადის, პრეფიქსების სია ძალიან ფართოა. თუ სახელი ვერ მუშაობს, სანამ მისამართი მუშაობს, DNS სტრიქონი არ ამოქმედდა. უკუქცევა ერთი ბრძანებაა და იგივე ჩანაწერს ეკუთვნის.

ხელახალი დაკავშირების შემდეგ დაადასტურეთ, რომ მარშრუტები ჯერ კიდევ ადგილზეა, რადგან პროფილის ხელახლა გამოყენების მმართველს შეუძლია ხელით დაწერილი მარშრუტები შეცვალოს.

შეინახეთ ერთი კონფიგურაციის მფლობელი, რადგან ერთი და იმავე ინტერფეისის შემქმნელი ორი მმართველი საბოლოოდ აუცილებლად გაიყოფა. wg-quick-ის სახელმძღვანელო აღწერს მის მიერ მოწოდებულ მარშრუტისა და DNS-ის ქცევას.