WireGuard padalintas tunelis: nustatymas be numatytojo maršruto

Padalintas tunelis yra priešdėlių sąrašas, kurį praleidžiate. Įrašykite nuotolinius diapazonus kliento pusėje, kliento adresą serverio pusėje, tada perskaitykite maršrutus.

Padalintą tunelį apibrėžia tai, ką praleidžiate, ir WireGuard tą sprendimą priima viename lauke. Kliento pusės AllowedIPs vienu metu parenka, kurie tikslai eis per tunelį, ir filtruoja, kurie vidiniai šaltinio adresai bus priimami, o wg-quick tą patį sąrašą paverčia pagrindinio kompiuterio maršrutais. Jei sąrašas neteisingas, tunelis arba praryja viską, arba nieko neperduoda.

Pirmiausia nustatykite priešdėlių sąrašą

Užsirašykite tikslus, kurie turi naudoti tunelį, prieš liesdami konfigūracijos failą. Biuro potinkliai, duomenų bazės diapazonas, valdymo tinklas: kiekvienas yra priešdėlis su priežastimi. Viskas, ko nėra sąraše, lieka fiziniame kelyje, ir tai yra visa dizaino esmė.

Jei sąraše yra 0.0.0.0/0 arba ::/0, sukūrėte visą tunelį ir turėtumėte tai pasakyti, nes gedimų režimai ir DNS lūkesčiai skiriasi.

Laikykite sąrašą pakankamai trumpą, kad recenzentas vėliau galėtų jį palyginti su maršrutų lentele.

Kliento konfigūracija: peer, AllowedIPs, DNS

Kliento sąsajos bloke yra jo paties tunelio adresas ir privatus raktas. Peer bloke yra serverio viešasis raktas, galinis taškas ir pirmo žingsnio priešdėliai:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

Kliento AllowedIPs yra nuotolinių tikslų rinkinys, o ne paties kliento adresas. DNS eilutė veikia tik per wg-quick sprendėjo integraciją, todėl hostas be resolvconf ar systemd-resolved palaikymo jos nepaisys. PersistentKeepalive palaiko NAT susiejimą gyvą ir nereikalingas tiesioginiame kelyje.

Komentuokite kiekvieną priešdėlį paslauga, kurią jis aptarnauja, kitaip kitas redagavimas bus spėjimas.

Serverio konfigūracija: priešingas požiūris

Serveryje peer įrašas reiškia klientą, todėl jo AllowedIPs yra kliento tunelio adresas, paprastai /32. Tai ne biuro potinklis. Kliento sąrašo kopijavimas į serverio įrašą yra dažniausia padalinto tunelio klaida, ir ji arba praplečia prieigą, arba sugadina vidinio šaltinio patikrą rankos paspaudimo metu.

Serverio savo sąsajos adresas ir maršrutai, kurių jam reikia biuro link, yra atskiri nuo bet kurio peer įrašo.

Du failai, du požiūriai, vienas priešdėlių rinkinys, padalintas tarp jų.

Pakelkite jį ir perskaitykite maršrutus

Paleiskite sąsają su palaikomu tvarkytuvu, tada pažiūrėkite, ką jis įdiegė, o ne ką ketinote. wg-quick išveda maršrutus iš AllowedIPs; jei profilis nustato Table = off, nieko neįdiegiama ir maršrutizavimas jūsų rankose. Perskaitykite kiekvieno priešdėlio maršrutą ir patvirtinkite, kad jis rodo į WireGuard sąsają. Tuščias maršrutų sąrašas paprastai reiškia, kad pritaikytas profilis nėra tas, kurį redagavote.

Patikrinkite ir rankos paspaudimo skaitiklius, nes peer be rankos paspaudimo turi rakto, galinio taško ar pasiekiamumo problemą, o ne maršrutizavimo.

Užsirašykite tikslią komandą, kurią naudojote, nes kitas žmogus ją vykdys spaudžiamas.

Patikrinkite abi puses, tada užrašykite atsukimą

Išbandykite privatų adresą, jo vidinį pavadinimą ir tikslą, kuris turi likti tiesioginis. Jei privatus adresas veikia, o tiesioginis tikslas dabar išeina per tunelį, priešdėlių sąrašas per platus. Jei pavadinimas nepavyksta, o adresas veikia, DNS eilutė neįsigaliojo. Atsukimas yra viena komanda, ir ji priklauso tai pačiai pastabai.

Po pakartotinio prisijungimo patvirtinkite, kad maršrutai vis dar yra, nes tvarkytuvas, kuris iš naujo taiko profilį, gali pakeisti rankinius maršrutus.

Laikykite vieną konfigūracijos savininką, nes du tvarkytuvai, kuriantys tą pačią sąsają, galiausiai nesutars. wg-quick vadovas dokumentuoja jo teikiamą maršrutų ir DNS elgseną.

Susiję straipsniai