Terowong terbelah WireGuard: konfigurasikannya tanpa laluan lalai

Terowong terbelah ditakrifkan oleh apa yang anda tinggalkan, dan WireGuard membuat keputusan itu dalam satu medan. AllowedIPs pada rakan pelanggan sekali gus memilih destinasi mana yang melalui terowong dan menapis alamat sumber dalaman mana yang diterima, dan wg-quick menukar senarai yang sama menjadi laluan hos. Jika senarai itu salah, terowong sama ada menelan segala-galanya atau tidak membawa apa-apa.

Tentukan senarai awalan dahulu

Tuliskan destinasi yang mesti menggunakan terowong sebelum menyentuh fail konfigurasi. Subnet pejabat, julat pangkalan data, rangkaian pengurusan: setiap satu ialah awalan dengan sebab. Semua yang tiada dalam senarai kekal pada laluan fizikal, dan itulah seluruh tujuan reka bentuk.

Jika senarai mengandungi 0.0.0.0/0 atau ::/0, anda telah membina terowong penuh dan patut menyatakannya, kerana mod kegagalan dan jangkaan DNS berbeza.

Pastikan senarai cukup pendek supaya penyemak boleh membandingkannya dengan jadual penghalaan kemudian.

Konfigurasi pelanggan: rakan, AllowedIPs, DNS

Blok antara muka pelanggan menyimpan alamat terowongnya sendiri dan kunci peribadi. Blok rakan menyimpan kunci awam pelayan, titik akhir dan awalan daripada langkah pertama:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs pada pelanggan ialah set destinasi jauh, bukan alamat pelanggan itu sendiri. Baris DNS hanya berkesan melalui integrasi penyelesai wg-quick, jadi hos tanpa sokongan resolvconf atau systemd-resolved akan mengabaikannya. PersistentKeepalive mengekalkan pemetaan NAT hidup dan tidak perlu pada laluan langsung.

Komen setiap awalan dengan perkhidmatan yang dilayaninya, jika tidak suntingan seterusnya akan menjadi tekaan.

Konfigurasi pelayan: sudut pandangan bertentangan

Pada pelayan, entri rakan mewakili pelanggan, jadi AllowedIPs-nya ialah alamat terowong pelanggan, biasanya /32. Ia bukan subnet pejabat. Menyalin senarai pelanggan ke entri pelayan ialah kesilapan terowong terbelah yang paling biasa, dan ia sama ada meluaskan akses atau memecahkan pemeriksaan sumber dalaman semasa jabat tangan.

Alamat antara muka pelayan sendiri, dan laluan yang diperlukannya ke arah pejabat, adalah berasingan daripada mana-mana entri rakan.

Dua fail, dua sudut pandangan, satu set awalan dibahagikan antara keduanya.

Hidupkannya dan baca laluan

Mulakan antara muka dengan pengurus yang disokong, kemudian lihat apa yang dipasangnya, bukan apa yang anda niatkan. wg-quick memperoleh laluan daripada AllowedIPs; jika profil menetapkan Table = off, tiada apa dipasang dan penghalaan menjadi tanggungjawab anda. Baca laluan bagi setiap awalan dan sahkan ia menunjuk ke antara muka WireGuard. Senarai laluan kosong biasanya bermaksud profil yang digunakan bukan yang anda sunting.

Periksa juga pembilang jabat tangan, kerana rakan tanpa jabat tangan mempunyai masalah kunci, titik akhir atau kebolehcapaian, bukan masalah penghalaan.

Tuliskan arahan tepat yang anda gunakan, kerana orang seterusnya akan menjalankannya di bawah tekanan.

Sahkan kedua-dua belah, kemudian catatkan pengembalian

Uji alamat peribadi, nama dalamannya dan destinasi yang mesti kekal langsung. Jika alamat peribadi berfungsi dan destinasi langsung kini keluar melalui terowong, senarai awalan terlalu luas. Jika nama gagal sementara alamat berfungsi, baris DNS tidak berkesan. Pengembalian ialah satu arahan, dan ia tergolong dalam nota yang sama.

Selepas menyambung semula, sahkan laluan masih ada, kerana pengurus yang menggunakan semula profil boleh menggantikan laluan manual.

Kekalkan seorang pemilik konfigurasi, kerana dua pengurus yang menghasilkan antara muka yang sama akhirnya akan berselisih. Manual wg-quick mendokumenkan tingkah laku laluan dan DNS yang disediakannya.