WireGuard Volltunnel: AllowedIPs 0.0.0.0/0 ass net genuch

De 0.0.0.0/0, ::/0 an d’AllowedIPs vun engem Peer ze setzen ass de Schrëtt, un deen sech jiddwereen erënnert, an hie bestëmmt nëmmen, wéi engem Verkéier de Peer droe kann. Dës Prefixen erstellen keng Routen, leede näischt op der anerer Säit weider an loossen de Resolver vun all Applikatioun genau do, wou en war. Véier verschidde Saachen musse gläichzäiteg gëllen, fir datt en Volltunnel e Volltunnel ass, an et ass am beschten, se an der Rei ënnen ze préiwen, well eng spéider Prüfung eng fréier net rette kann. All Prüfung ënnen ass eng Tatsaach, déi een op enger Maschinn liese kann, net eng Astellung, vun där een hofft, datt se ugewannt gouf.

Wat de Prefix vum Peer auswielt, a wat net

AllowedIPs ass gläichzäiteg en Auswieler an eng Autorisatioun. Et seet der lokaler Säit, wéi eng Destinatiounen op dëse Peer geschéckt däerfe ginn, an et seet der empfangender Säit, wéi eng Quelladressen dëse Peer däerf presentéieren. Dat ass déi ganz Aarbecht. Näischt an där Beschreiwung erstellt eng Route um Host, aktivéiert d’Weiderleedung op der wäiter Säit oder beréiert d’Nimmopwëssung.

Deshalb kann eng Konfiguratioun komplett ausgesinn an sech wéi en Split-Tunnel behuelen. De Prefix seet, de Peer géif alles akzeptéieren; d’Routentabelle vum Host entscheet, wat wierklech do ukënnt, an de Gateway entscheet, ob eppes erausgeet. Keng vun dësen dräi Entscheedungen lieft am Peer-Abschnitt.

De Client routen, net nëmmen d’Peerlëscht

Manageren wéi wg-quick programméieren d’Routentabelle vum Host fir Iech, dofir behuele sech zwou identesch Konfiguratiounsdateien anescht, jee nodeem wéi d’Interface eropkomm ass. E minimale Profil ass kuerz genuch, fir en an engem Zuch ze liesen:

[Interface]
Address = 10.8.0.2/32
DNS = 10.8.0.1

[Peer]
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = vpn.example.net:51820

Zwee Detailer droen d’Aarbecht. D’Feld Address ass een eenzegen Host-Prefix an net e Subnetz, vun deem de Client mengt, et géif him gehéieren, an et ass de Manager, deen d’Standard-AllowedIPs an eng richteg Standardroute ëmwandelt. Setzt déiselwecht Datei mat ip link an wg setconf erop, an et erschéngt guer keng Route, wat wéi en defekten Tunnel ausgesäit an tatsächlech en gesonden ass, bei deem de Routeschrëtt iwwersprong gouf. D’Handbuch vum wg-quick dokumentéiert d’Routéierung an d’Table Verhalen, dat dës Manageren derbäisetzen.

Liest d’Resultat amplaz vun der Datei: ip route get 1.1.1.1 sollt d’Tunnel-Interface nennen, an wg show sollt en aktuelle Handshake mat engem Transferzähler mellten, dee sech beweegt. En Handshake ouni Route heescht, de Manager ass ni gelaf, an de Profil nach eng Kéier z’änneren hëlleft net. Start d’Interface sou, wéi de Benotzer se starten, soss moosst den Test deng Shell amplaz vum Deployment.

Den Endpunkt baussent dem Tunnel halen

En Volltunnel fänkt all Destinatioun, och déi, mat där en ze schwätze muss, fir ze existéieren. Manageren hiewen dat op, andeems se eng Hostroute fir den Endpunkt iwwer den ursprénglechen Gateway derbäisetzen, dofir enthält eng korrekt Konfiguratioun bal ëmmer eng bewosst Ausnahm. D’Halschent vun der Konfiguratioun mat engem Manager an déi aner Halschent vun Hand unzewenden ass de gewéinleche Wee, wéi dës Ausnahm verluer geet.

Wann den Endpunkt en Hostnumm ass, deen op verschidden Adressen opgeléist gëtt, oder op eng Famill, déi Dir net drot, da gëtt d’Ausnahm schlecht al, an den Tunnel kann no enger Reconnexion, déi routine geschien huet, versoen. Pinn den Endpunkt un eng Adress, déi Dir kontrolléiert, oder bestätegt, datt de Manager se nei bewäert, a liest d’Hostroute no all Netzwierkännerung nach eng Kéier.

Dee selwechte Mechanismus erkläert, firwat en Volltunnel an e Captive Portal sech streiden. De Portal erwaart, de Verkéier ofzefänken, deen den Tunnel elo fänkt, also op Hotel- an Flughafennetzwierker setzt Dir den Tunnel no dem Portal-Login erop, ni virdrun.

Weiderleedung an de Réckwee um Gateway

Um Gateway aktivéiert d’Weiderleedung fir d’Famill, déi Dir drot, erlaabt d’Forward-Kette a béid Richtungen, wann Dir iwwersetzt, a bestätegt de Réckwee mat enger quellespezifescher Sich. Näischt dovun ergëtt sech aus engem erfollegräichen Handshake, well en Handshake just beweist, datt déi zwee Peeren UDP austausche kënnen. Et seet näischt doriwwer, wat duerno mam decapsuléierte Pak geschitt.

sysctl net.ipv4.ip_forward net.ipv6.conf.all.forwarding
ip route get 1.1.1.1 from 10.8.0.2

D’Sich leeft um Gateway an net um Client, soss liest Dir eng aner Routentabelle. Wann se déi falsch Interface nennt oder mellt, et gëif keng Route ginn, dann huet keng Ännerung op der Clientsäit en Internetausgang. Wann de Gateway d’Clientadressen um Wee eraus iwwersetzt, hänkt d’Äntwert vun deem Iwwersetzungszoustand of, dofir muss d’Reegel fir béid Richtunge vun der Stréimung existéieren an net nëmme fir déi erausgehend.

DNS an de Feelerzoustand, getrennt getest

De Protokoll selwer konfiguréiert de Resolver vun kenger Applikatioun. wg-quick wend d’Linn DNS iwwer d’Resolver-Integratioun vun der Distributioun un, Containeren a Browseren mat hirem eegene Stack kënnen se ignoréieren, an dofir kann en Numm fehltrieden, während den Tunnel Päckchen perfekt dréit. Test mat engem Hostnumm amplaz enger Adress, a notéiert, wéi en Server geäntwert huet, amplaz unzehuelen, et wier dee vum Profil.

Adressfamillje sinn en eegene Test mat enger eegener Äntwert. Eng Standardroute fir v4 seet näischt doriwwer, wat d’v6-Verbindung vun enger Applikatioun wäert maachen, an en Tunnel, deen déi zweet Famill stëll verléiert, ass méi schlëmm wéi een, deen haart versoe geet. Fro en Numm iwwer all Famill, liest d’Interface, déi all Ufro benotzt huet, a kontrolléiert d’Iwwersetzungszähler virdrun an duerno, well eng Reegel, déi op näischt passt, genee wéi eng fehlend Reegel ausgesäit.

Test zum Schluss de Zoustand, deen Dir wëllt, wann den Tunnel stoppt. En Volltunnel sollt fir de Verkéier, deen en behaapt, zou versoen: wann d’Interface fält an d’Applikatiounen stëll iwwer de physesche Link weiderlafen, ass den Design en Split-Tunnel mat Extra-Schrëtt. Schreift dat gewënschte Feelerverhalen op, préift et bewosst, a schléisst mat de véier Äntwerten of — wéi e Manager d’Interface eropsetzt, wéi eng Route den Standard dréit, wien um Gateway weiderleet an iwwersetzt, a wéi en Resolver äntwert.