WireGuard бөлүнгөн туннели: демейки маршрутсуз жөндөө

Бөлүнгөн туннель — сыртта калтырган префикстер тизмеси. Алыскы диапазондорду кардар тарапка, кардардын дарегин сервер тарапка кой, анан маршруттарды оку.

Бөлүнгөн туннель эмнени сыртта калтырганыңыз менен аныкталат, жана WireGuard бул чечимди бир талаада кабыл алат. Кардар тараптын AllowedIPs талаасы кайсы багыттар туннелден өтөрүн тандап, кайсы ички булак даректер кабыл алынарын чыпкалайт, ал эми wg-quick ошол эле тизмени хост маршруттарына айландырат. Тизмени туура эмес түзсөңүз, туннель же баарын жутуп коёт, же эч нерсе ташыбайт.

Алгач префикстер тизмесин аныктаңыз

Конфигурация файлына тийүүдөн мурун туннелди колдонушу керек болгон багыттарды жазыңыз. Кеңсе ички тармактары, маалымат базасынын диапазону, башкаруу тармагы: ар бири себеби бар префикс. Тизмеде жок нерсенин баары физикалык жолдо калат, жана долбоордун бүт максаты ушунда.

Эгер тизмеде 0.0.0.0/0 же ::/0 болсо, сиз толук туннель курдуңуз жана муну айтышыңыз керек, анткени бузулуу режимдери жана DNS күтүүлөрү башкача.

Тизмени кийин текшерүүчү маршруттоо таблицасы менен салыштыра алгыдай кыска кармаңыз.

Кардар конфигурациясы: тең, AllowedIPs, DNS

Кардардын интерфейс блогунда өзүнүн туннель дареги жана жеке ачкычы бар. Тең блогунда сервердин ачык ачкычы, акыркы чекит жана биринчи кадамдын префикстери бар:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

Кардардагы AllowedIPs — алыскы багыттардын жыйындысы, кардардын өз дареги эмес. DNS сабы wg-quickтин чечүүчү интеграциясы аркылуу гана таасир этет, ошондуктан resolvconf же systemd-resolved колдоосу жок хост аны этибарга албайт. PersistentKeepalive NAT картасын тирүү кармайт жана түз жолдо керек эмес.

Ар бир префикске ал тейлеген кызматты комментарий катары жазыңыз, болбосо кийинки түзөтүү божомол болот.

Сервер конфигурациясы: карама-каршы көз караш

Серверде тең жазуусу кардарды билдирет, ошондуктан анын AllowedIPs — кардардын туннель дареги, адатта /32. Бул кеңсе ички тармагы эмес. Кардардын тизмесин сервер жазуусуна көчүрүү — бөлүнгөн туннелдин эң көп кездешкен катасы, ал же жеткиликтүүлүктү кеңейтет, же кол алышуу учурунда ички булак текшерүүсүн бузат.

Сервердин өз интерфейс дареги жана ага кеңсе тарапка керектүү маршруттар ар кандай тең жазуусунан өзүнчө.

Эки файл, эки көз караш, алардын ортосунда бөлүнгөн бир префикс жыйындысы.

Аны көтөрүңүз жана маршруттарды окуңуз

Интерфейсти колдоого алынган менеджер менен баштаңыз, анан эмнени көздөгөнүңүздү эмес, ал эмнени орнотконун караңыз. wg-quick маршруттарды AllowedIPsтен чыгарат; профиль Table = off койсо, эч нерсе орнотулбайт жана маршруттоо өзүңүздүн колуңузда. Ар бир префикстин маршрутун окуп, анын WireGuard интерфейсине багытталганын ырастаңыз. Бош маршрут тизмеси адатта колдонулган профиль сиз түзөткөн профиль эмес экенин билдирет.

Кол алышуу эсептегичтерин да текшериңиз, анткени кол алышуусу жок теңдин маршруттоо эмес, ачкыч, акыркы чекит же жеткиликтүүлүк көйгөйү бар.

Колдонгон так буйрукту жазып коюңуз, анткени кийинки адам аны басым астында аткарат.

Эки тарапты текшериңиз, анан артка кайтарууну жазыңыз

Жеке даректи, анын ички атын жана түз калышы керек болгон багытты сынаңыз. Эгер жеке дарек иштеп, түз багыт эми туннелден чыкса, префикстер тизмеси өтө кенен. Эгер ат иштебей, дарек иштесе, DNS сабы күчүнө кирген жок. Артка кайтаруу — бир буйрук жана ал ошол эле жазууга таандык.

Кайра туташкандан кийин маршруттар дагы эле бар экенин ырастаңыз, анткени профилди кайра колдонгон менеджер кол менен жасалган маршруттарды алмаштырышы мүмкүн.

Бир конфигурация ээсин кармаңыз, анткени бир интерфейсти жасаган эки менеджер акыры келишпейт. wg-quick колдонмосу ал сунуш кылган маршрут жана DNS жүрүм-турумун документтештирет.

Тектеш макалалар