WireGuard хуваасан туннель: анхдагч маршрутгүйгээр тохируулах

Хуваасан туннель бол та гадна үлдээх префиксүүдийн жагсаалт юм. Алсын мужийг клиентийн талд, клиентийн хаягийг серверийн талд тавиад дараа нь маршрутуудыг уншина уу.

Хуваасан туннелийг та юу гадна үлдээхээр тодорхойлогддог бөгөөд WireGuard энэ шийдвэрийг нэг талбарт гаргадаг. Клиентийн талын AllowedIPs нь аль чиглэлүүд туннелээр гарахыг сонгохын зэрэгцээ аль дотоод эх хаяг хүлээн авахыг шүүдэг бөгөөд wg-quick ижил жагсаалтыг хостын маршрут болгоно. Жагсаалт буруу бол туннель бүгдийг залгих эсвэл юу ч зөөхгүй.

Эхлээд префиксүүдийн жагсаалтыг тодорхойл

Тохиргооны файлд хүрэхийн өмнө туннель ашиглах ёстой чиглэлүүдийг бич. Оффисын дэд сүлжээ, өгөгдлийн сангийн муж, удирдлагын сүлжээ: тус бүр шалтгаантай префикс юм. Жагсаалтад байхгүй бүхэн физик замд үлддэг бөгөөд энэ нь дизайны бүх утга юм.

Хэрэв жагсаалтад 0.0.0.0/0 эсвэл ::/0 байвал та бүрэн туннель барьсан бөгөөд үүнийг хэлэх ёстой, учир нь алдааны горим ба DNS хүлээлт өөр.

Жагсаалтыг дараа нь хянагч маршрутжуулалтын хүснэгттэй харьцуулж чадахаар хангалттай богино байлга.

Клиентийн тохиргоо: хос, AllowedIPs, DNS

Клиентийн интерфейсийн блокт өөрийн туннелийн хаяг болон хувийн түлхүүр байна. Хосын блокт серверийн нийтийн түлхүүр, төгсгөлийн цэг болон эхний алхамын префиксүүд байна:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

Клиент дээрх AllowedIPs нь алсын чиглэлүүдийн олонлог бөгөөд клиентийн өөрийн хаяг биш. DNS мөр нь зөвхөн wg-quick-ийн шийдвэрлэгчийн интеграцаар үйлчилдэг тул resolvconf эсвэл systemd-resolved дэмжлэггүй хост үүнийг үл тоомсорлоно. PersistentKeepalive нь NAT-ийн зураглалыг амьд байлгадаг бөгөөд шууд замд шаардлагагүй.

Префикс бүрт түүний үйлчилдэг үйлчилгээг тайлбар болгон бич, эс бөгөөс дараагийн засвар таамаг болно.

Серверийн тохиргоо: эсрэг өнцөг

Сервер дээр хосын бичлэг клиентийг төлөөлдөг тул түүний AllowedIPs нь клиентийн туннелийн хаяг, ихэвчлэн /32. Энэ нь оффисын дэд сүлжээ биш. Клиентийн жагсаалтыг серверийн бичлэгт хуулах нь хуваасан туннелийн хамгийн түгээмэл алдаа бөгөөд энэ нь нэвтрэх эрхийг өргөтгөх эсвэл гар барих үед дотоод эх шалгалтыг эвддэг.

Серверийн өөрийн интерфейсийн хаяг болон оффис руу шаардлагатай маршрутууд нь аливаа хосын бичлэгээс тусдаа.

Хоёр файл, хоёр өнцөг, тэдний хооронд хуваагдсан нэг префикс олонлог.

Үүнийг өргөж, маршрутуудыг унш

Интерфейсийг дэмжигдсэн менежерээр эхлүүлээд, дараа нь та юу төлөвлөснийг биш, юу суулгасныг хар. wg-quick маршрутуудыг AllowedIPs-ээс гаргадаг; профайл Table = off гэж тохируулбал юу ч суулгагдахгүй бөгөөд маршрутжуулалт таны гарт. Префикс бүрийн маршрутыг уншаад WireGuard интерфейс рүү зааж байгааг батал. Хоосон маршрутын жагсаалт нь ихэвчлэн хэрэглэсэн профайл таны засварласан профайл биш гэсэн үг.

Гар барилтын тоолуурыг ч шалга, учир нь гар барилтгүй хос нь маршрутжуулалт биш, түлхүүр, төгсгөлийн цэг эсвэл хүртээмжийн асуудалтай.

Хэрэглэсэн яг командыг бичиж үлдээ, учир нь дараагийн хүн үүнийг дарамт дор ажиллуулна.

Хоёр талыг шалгаад, дараа нь буцаалтыг бич

Хувийн хаяг, түүний дотоод нэр, шууд үлдэх ёстой чиглэлийг турш. Хувийн хаяг ажиллаж, шууд чиглэл одоо туннелээр гарч байвал префиксүүдийн жагсаалт хэт өргөн байна. Хаяг ажиллаж байхад нэр бүтэлгүйтвэл DNS мөр хүчин төгөлдөр болоогүй. Буцаалт нь нэг команд бөгөөд энэ нь мөн тэмдэглэлд хамаарна.

Дахин холбогдсоны дараа маршрутууд байгаа эсэхийг батал, учир нь профайлыг дахин хэрэглэдэг менежер гарын маршрутуудыг сольж болно.

Нэг тохиргооны эзэмшигчтэй бай, учир нь нэг интерфейс үүсгэдэг хоёр менежер эцэст нь зөрчилдөнө. wg-quick гарын авлага нь өгдөг маршрут болон DNS зан төлөвийг баримтжуулдаг.

Холбоотой нийтлэлүүд