WireGuard sadalītais tunelis: iestatīšana bez noklusējuma maršruta

Sadalītais tunelis ir prefiksu saraksts, ko atstājat ārpusē. Ievietojiet attālos diapazonus klienta pusē, klienta adresi servera pusē, pēc tam izlasiet maršrutus.

Sadalīto tuneli nosaka tas, ko atstājat ārpusē, un WireGuard šo lēmumu pieņem vienā laukā. Klienta puses AllowedIPs vienlaikus izvēlas, kuri galamērķi iet caur tuneli, un filtrē, kuras iekšējās avota adreses tiek pieņemtas, un wg-quick pārvērš to pašu sarakstu resursdatora maršrutos. Ja saraksts ir nepareizs, tunelis vai nu norij visu, vai neko nenes.

Vispirms nosakiet prefiksu sarakstu

Pierakstiet galamērķus, kuriem jāizmanto tunelis, pirms pieskaraties konfigurācijas failam. Biroja apakštīkli, datubāzes diapazons, pārvaldības tīkls: katrs ir prefikss ar iemeslu. Viss, kas nav sarakstā, paliek fiziskajā ceļā, un tā ir visa dizaina jēga.

Ja sarakstā ir 0.0.0.0/0 vai ::/0, esat uzbūvējis pilnu tuneli un par to jāpasaka, jo atteices režīmi un DNS gaidas atšķiras.

Turiet sarakstu pietiekami īsu, lai recenzents vēlāk varētu to salīdzināt ar maršrutēšanas tabulu.

Klienta konfigurācija: peer, AllowedIPs, DNS

Klienta saskarnes blokā ir tā paša tuneļa adrese un privātā atslēga. Peer blokā ir servera publiskā atslēga, galapunkts un pirmā soļa prefiksi:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

Klienta AllowedIPs ir attālo galamērķu kopa, nevis paša klienta adrese. DNS rinda darbojas tikai caur wg-quick risinātāja integrāciju, tāpēc resursdators bez resolvconf vai systemd-resolved atbalsta to ignorēs. PersistentKeepalive uztur NAT kartējumu dzīvu un tiešā ceļā nav nepieciešams.

Komentējiet katru prefiksu ar pakalpojumu, kuram tas kalpo, citādi nākamais labojums būs minējums.

Servera konfigurācija: pretējais skatījums

Serverī peer ieraksts pārstāv klientu, tāpēc tā AllowedIPs ir klienta tuneļa adrese, parasti /32. Tas nav biroja apakštīkls. Klienta saraksta kopēšana servera ierakstā ir visbiežākā sadalītā tuneļa kļūda, un tā vai nu paplašina piekļuvi, vai sabojā iekšējās avota pārbaudi rokasspiediena laikā.

Servera paša saskarnes adrese un maršruti, kas tam nepieciešami uz biroju, ir atsevišķi no jebkura peer ieraksta.

Divi faili, divi skatījumi, viena prefiksu kopa, kas sadalīta starp tiem.

Paceliet to un izlasiet maršrutus

Palaidiet saskarni ar atbalstīto pārvaldnieku un pēc tam skatieties, ko tas instalēja, nevis ko bijāt iecerējis. wg-quick atvasina maršrutus no AllowedIPs; ja profils iestata Table = off, nekas netiek instalēts un maršrutēšana ir jūsu ziņā. Izlasiet katra prefiksa maršrutu un apstipriniet, ka tas norāda uz WireGuard saskarni. Tukšs maršrutu saraksts parasti nozīmē, ka lietotais profils nav tas, kuru rediģējāt.

Pārbaudiet arī rokasspiediena skaitītājus, jo peer bez rokasspiediena ir atslēgas, galapunkta vai sasniedzamības problēma, nevis maršrutēšanas.

Pierakstiet precīzo komandu, ko izmantojāt, jo nākamais cilvēks to izpildīs spiediena apstākļos.

Pārbaudiet abas puses, pēc tam pierakstiet atritināšanu

Pārbaudiet privāto adresi, tās iekšējo nosaukumu un galamērķi, kam jāpaliek tiešam. Ja privātā adrese darbojas un tiešais galamērķis tagad iziet caur tuneli, prefiksu saraksts ir pārāk plats. Ja nosaukums neizdodas, kamēr adrese darbojas, DNS rinda nav stājusies spēkā. Atritināšana ir viena komanda, un tā pieder tai pašai piezīmei.

Pēc atkārtota savienojuma apstipriniet, ka maršruti joprojām ir, jo pārvaldnieks, kas atkārtoti piemēro profilu, var aizstāt manuālos maršrutus.

Turiet vienu konfigurācijas īpašnieku, jo divi pārvaldnieki, kas veido vienu un to pašu saskarni, galu galā nesaskaņos. wg-quick rokasgrāmata dokumentē tā sniegto maršrutu un DNS uzvedību.

Saistītie raksti