AllowedIPs ass eng Routing-Lëscht, keng Firewall-Regel

Déi meescht Leit liesen AllowedIPs als eng Erlaabnislëscht, d'Set vun Adressen déi sech mat engem Peer kënnen verbannen, bal wéi eng Firewall-Regel déi fir en Tunnel geschriwwen ass. Dat ass et net. D'Feld ass eng Routing-Tabelle déi a béid Richtunge schafft: et wielt e Peer fir en erausgehende Pak an et validéiert d'Quell vun engem erakommende. Et als Access-Lëscht liesen erstellt Konfiguratiounen déi Traffic routeren deen keen ugefrot huet.

Ee Feld, zwee Lieser: Auswiel eraus an Quellkontroll

Beim Client entscheeden d'Präfixen wéi eng Destinatiounen zu deem Peer reesen a wéi eng um gewéinlechen Netz bleiwen. En Aschreiwung fir 0.0.0.0/0 fänkt dofir all IPv4-Destinatioun, an dofir schéckt den Import vun engem Volltunnel-Profil gewéinlech Browsing iwwer déi distanzt Maschinn. Schmal Aschreiwungen maachen dat Ëmgekéiert: si routeren nëmmen déi Netzwierker déi Dir opgezielt hutt an loossen alles anescht wou et war. Den Deel iwwer Kryptoschlëssel-Routing an der WireGuard-Dokumentatioun nennt béid Aufgaben op enger Plaz: d'Auswiel vum erausgehende Peer an d'Validéierung vun der erakommender Quell.

Um Server beschreift datselwecht Feld wéi eng Quelladressen all Peer benotze kann. Dat ass eng kryptografesch Kontroll an net eng Pakfilter: e Pak deem seng bannescht Quell net mat der Lëscht vum Peer iwwerenee kënnt gëtt bannent WireGuard verworf ier eng Firewall um Host et gesäit. Béid Aufgaben deelen eng Lëscht, an dofir genee verhält sech eng Lëscht déi sossouwe kopéiert gouf falsch op enger Plaz un déi Dir net geduecht hutt.

De Client-Block ass d'Plaz wou déi meescht vun dëser Konfusioun ufänkt. En opgedeilten Tunnel nennt déi distanzt Netzwierker, an en Volltunnel ass datselwecht Feld mat engem Standardpräfix:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

Béid Forme si fir sech komplett, a si sinn Alternativen an net Schrëtt. Déi éischt schéckt nëmmen déi zwou Netzwierker duerch den Tunnel; déi zweet schéckt all Destinatioun, an den Aschreiwung ::/0 füügt IPv6 zum IPv4-Standard bäi. Wat Dir och wielt, dës Präfixen sinn déi ganz Routing-Entscheedung fir dee Peer soubal wg-quick ufänkt Routen z'installéieren.

Den Hub brauch eng aner Lëscht

En Hub zielt d'Tunneladress vun all Client als Host-Präfix op, plus all Netzwierk dat wierklech hannert deem Client läit. D'breet Lëscht vun engem Client op all Hub-Peer ze kopéieren seet dem Hub datt vill Peeren déiselwecht Adressen als Quell kënne benotzen, an dat ass keen Adressplang. D'Feld Endpoint gehéiert zu enger ganz anerer Schicht: et nennt d'baussen Adress an de Port vum Peer, ni eng Destinatioun bannent dem Tunnel.

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

Den Host-Präfix dréit d'Tunneladress an den Netzpräfix dréit dat wat hannert dem Client läit, a béid si gebraucht. Ouni den Host-Präfix kann den Hub den eegene Traffic vum Client net zréckschécken, an ouni den Netzpräfix bleift de LAN hannendrun onerreechbar; e Peer ouni näischt hannendrun kritt nëmmen den Host-Präfix.

D'Installatioun vun de Routen iwwersprange léisst eng Lück

wg-quick, den Hëllef dat en Interface aus enger Konfiguratiounsdatei opbréngt, installéiert Interfaceadressen a Routen als Deel vun där Aarbecht. Table = off setze seet dem Hëllef d'Routenaarbecht z'iwwersprangen, wat keng Ersatzrouten installéiert an dat privat Netz net erreechbar mécht. Wann automatesch Routen d'Aarbecht schonn maachen, ass et déi méi kloer Konfiguratioun déi néideg Präfixen ze nennen. D'Routing-Verwaltung ausschalten an den Ersatz ongeschriwwen ze loossen ass keen Design, et ass eng Ausloossung.

D'Basiswerkzeug wg verhält sech anescht: et konfiguréiert den Interface an datt Routen ni beréiert, dofir brauch eng Installatioun déi direkt drop opgebaut ass seng eegen Routebefehler. Uweisungen déi fir ee Werkzeug geschriwwe goufen kënnen falsch ausgesinn wann ee si mam aneren befollegt. En erfollegräiche Ping ass och e schwaache Beweis, well en e Wee testt an net all Applikatiounswee deen Dir braucht.

DNS an IPv6 ginn getrennt decidéiert

Kuckt d'DNS-Serveradress déi den Tunnel annoncéiert, a bestätegt datt et eng Route zu där Adress iwwer d'Präfixen déi Dir gewielt hutt gëtt. Eng Resolver-Astellungs mécht den Resolver net erreechbar, an d'Verschmäleren vun engem Tunnel kann d'Route déi dohi gefouert huet stëll ewech huelen. Ënnersicht IPv6 och fir sech, well eng korrekt IPv4-Deelung näischt iwwer eng IPv6-Standardroute seet déi nach op de physesche Link weist. Dräi getrennt Entscheedungen kënnen op eemol änneren wann Dir ee Peer-Block beaarbecht.

Da maacht eng privat Ressource an eng gewéinlech Websäit aus enger bekannter Startkonfiguratioun op. Wann d'Ressource äntwert an d'Browsing nach ëmmer iwwer d'lokal Verbindung erausgeet, mécht d'Deelung wat Dir gefrot hutt. Wann d'Browsing am selwechte Moment brécht, huet den Tunnel d'Standardroute geholl an d'Präfixlëscht ass d'Plaz wou Dir kucke sollt.