WireGuard поделен тунел: поставување без стандардна рута

Поделениот тунел се дефинира со тоа што го оставате надвор, а WireGuard ја носи таа одлука во едно поле. AllowedIPs на клиентската страна истовремено избира кои одредишта одат низ тунелот и филтрира кои внатрешни изворни адреси се прифаќаат, а wg-quick ја претвора истата листа во рути на домаќинот. Ако листата е погрешна, тунелот или голта сѐ или не носи ништо.

Прво определете ја листата на префикси

Запишете ги одредиштата што мора да го користат тунелот пред да допрете конфигурациска датотека. Канцелариски подмрежи, опсег на база на податоци, управувачка мрежа: секој е префикс со причина. Сето што не е на листата останува на физичката патека, и тоа е целата смисла на дизајнот.

Ако листата содржи 0.0.0.0/0 или ::/0, изградивте целосен тунел и треба да го кажете тоа, бидејќи режимите на откажување и очекувањата за DNS се разликуваат.

Држете ја листата доволно кратка за рецензентот подоцна да може да ја спореди со табелата за рутирање.

Конфигурација на клиентот: партнер, AllowedIPs, DNS

Блокот на интерфејсот на клиентот ги содржи неговата сопствена тунелска адреса и приватниот клуч. Блокот на партнерот ги содржи јавниот клуч на серверот, крајната точка и префиксите од првиот чекор:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs кај клиентот е множеството далечни одредишта, а не сопствената адреса на клиентот. Редот за DNS дејствува само преку интеграцијата со резолверот на wg-quick, така што домаќин без поддршка за resolvconf или systemd-resolved ќе го игнорира. PersistentKeepalive одржува NAT мапирањето живо и е непотребен на директна патека.

Коментирајте го секој префикс со услугата што ја опслужува, инаку следното уредување ќе биде претпоставка.

Конфигурација на серверот: спротивната гледна точка

На серверот записот за партнерот го претставува клиентот, затоа неговиот AllowedIPs е тунелската адреса на клиентот, обично /32. Тоа не е канцелариската подмрежа. Копирањето на листата на клиентот во записот на серверот е најчестата грешка кај поделениот тунел, и таа или го проширува пристапот или ја крши внатрешната проверка на изворот при ракувањето.

Сопствената адреса на интерфејсот на серверот и рутите што му требаат кон канцеларијата се одделени од секој запис за партнер.

Две датотеки, две гледни точки, едно множество префикси поделено меѓу нив.

Подигнете го и прочитајте ги рутите

Стартувајте го интерфејсот со поддржаниот менаџер, потоа погледнете што инсталирал, а не што сте имале намера. wg-quick изведува рути од AllowedIPs; ако профилот постави Table = off, ништо не се инсталира и рутирањето е ваше. Прочитајте ја рутата за секој префикс и потврдете дека покажува кон интерфејсот WireGuard. Празна листа на рути обично значи дека применетиот профил не е тој што сте го уредувале.

Проверете ги и бројачите на ракување, бидејќи партнер без ракување има проблем со клуч, крајна точка или достапност, а не со рутирање.

Запишете ја точната команда што ја користевте, бидејќи следниот човек ќе ја изврши под притисок.

Проверете ги двете страни, потоа запишете го враќањето

Тестирајте приватна адреса, нејзиното внатрешно име и одредиште што мора да остане директно. Ако приватната адреса работи, а директното одредиште сега излегува низ тунелот, листата на префикси е преширока. Ако името не успее додека адресата работи, редот за DNS не стапил на сила. Враќањето е една команда и припаѓа на истата белешка.

По повторно поврзување потврдете дека рутите сѐ уште се таму, бидејќи менаџер што повторно го применува профилот може да ги замени рачните рути.

Држете еден сопственик на конфигурацијата, бидејќи два менаџери што го создаваат истиот интерфејс на крајот ќе се разидуваат. Прирачникот за wg-quick го документира однесувањето на рутите и DNS што го обезбедува.