WireGuard бөлінген туннелі: әдепкі маршрутсыз баптау

Бөлінген туннель — қалдырып кететін префикстер тізімі. Қашықтағы ауқымдарды клиент жағына, клиент мекенжайын сервер жағына қойып, содан кейін маршруттарды оқыңыз.

Бөлінген туннель нені тыс қалдыратыныңызбен анықталады, ал WireGuard бұл шешімді бір өрісте қабылдайды. Клиент жағының AllowedIPs өрісі қай бағыттардың туннельден өтетінін таңдап, қай ішкі бастау мекенжайлары қабылданатынын сүзеді, ал wg-quick сол тізімді хост маршруттарына айналдырады. Тізімді қате жасасаңыз, туннель не бәрін жұтып қояды, не ештеңе тасымайды.

Алдымен префикстер тізімін анықтаңыз

Конфигурация файлына тиіспес бұрын туннельді пайдалануы тиіс бағыттарды жазыңыз. Кеңсе ішкі желілері, дерекқор ауқымы, басқару желісі: әрқайсысы себебі бар префикс. Тізімде жоқ барлық нәрсе физикалық жолда қалады, ал дизайнның бүкіл мәні осында.

Егер тізімде 0.0.0.0/0 немесе ::/0 болса, сіз толық туннель құрдыңыз және мұны айту керек, өйткені ақау режимдері мен DNS күтулері өзгеше.

Тізімді кейін тексеруші маршруттау кестесімен салыстыра алатындай қысқа ұстаңыз.

Клиент конфигурациясы: теңдес, AllowedIPs, DNS

Клиенттің интерфейс блогында өзінің туннель мекенжайы мен жеке кілті бар. Теңдес блогында сервердің ашық кілті, соңғы нүкте және бірінші қадамның префикстері бар:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

Клиенттегі AllowedIPs — қашықтағы бағыттар жиынтығы, клиенттің өз мекенжайы емес. DNS жолы тек wg-quick шешушісінің интеграциясы арқылы әсер етеді, сондықтан resolvconf немесе systemd-resolved қолдауы жоқ хост оны елемейді. PersistentKeepalive NAT салыстыруын тірі ұстайды және тікелей жолда қажет емес.

Әр префикске ол қызмет ететін қызметті түсініктеме ретінде жазыңыз, әйтпесе келесі өңдеу болжам болады.

Сервер конфигурациясы: қарсы көзқарас

Серверде теңдес жазбасы клиентті білдіреді, сондықтан оның AllowedIPs — клиенттің туннель мекенжайы, әдетте /32. Бұл кеңсе ішкі желісі емес. Клиент тізімін сервер жазбасына көшіру — бөлінген туннельдің ең көп тараған қатесі, ол не қатынауды кеңейтеді, не қол алысу кезінде ішкі бастау тексерісін бұзады.

Сервердің өз интерфейс мекенжайы және оған кеңсеге қарай қажет маршруттар кез келген теңдес жазбасынан бөлек.

Екі файл, екі көзқарас, олардың арасында бөлінген бір префикс жиынтығы.

Оны көтеріңіз және маршруттарды оқыңыз

Интерфейсті қолдау көрсетілетін менеджермен іске қосыңыз, содан кейін не істеуді жоспарлағаныңызды емес, оның не орнатқанын қараңыз. wg-quick маршруттарды AllowedIPs-тен шығарады; профиль Table = off орнатса, ештеңе орнатылмайды және маршруттау өз қолыңызда. Әр префикстің маршрутын оқып, оның WireGuard интерфейсіне бағытталғанын растаңыз. Бос маршрут тізімі әдетте қолданылған профильдің сіз өңдеген профиль емес екенін білдіреді.

Қол алысу санауыштарын да тексеріңіз, өйткені қол алысуы жоқ теңдестің маршруттау емес, кілт, соңғы нүкте немесе қолжетімділік мәселесі бар.

Пайдаланған нақты пәрменді жазып қойыңыз, өйткені келесі адам оны қысым астында орындайды.

Екі жақты тексеріңіз, содан кейін кері қайтаруды жазыңыз

Жеке мекенжайды, оның ішкі атауын және тікелей қалуы тиіс бағытты сынаңыз. Егер жеке мекенжай жұмыс істеп, тікелей бағыт енді туннельден шықса, префикстер тізімі тым кең. Егер атау сәтсіз болып, мекенжай жұмыс істесе, DNS жолы күшіне енбеді. Кері қайтару — бір пәрмен және ол сол жазбаға тиесілі.

Қайта қосылғаннан кейін маршруттардың әлі де бар екенін растаңыз, өйткені профильді қайта қолданатын менеджер қолмен жасалған маршруттарды алмастыруы мүмкін.

Бір конфигурация иесін ұстаңыз, өйткені бір интерфейсті жасайтын екі менеджер ақыр соңында келіспейді. wg-quick нұсқаулығы оның ұсынатын маршрут және DNS әрекетін құжаттайды.

Қатысты мақалалар