AllowedIPs hija lista ta' routing, mhux regola tal-firewall

Il-biċċa l-kbira tan-nies jaqraw AllowedIPs bħala lista ta' permessi, is-sett ta' indirizzi li jistgħu jikkonnettjaw ma' peer, kważi bħal regola tal-firewall miktuba għal tunnel. Mhux hekk. Il-qasam huwa tabella ta' routing li taħdem fiż-żewġ direzzjonijiet: tagħżel peer għal pakkett li joħroġ u tivvalida s-sors ta' wieħed li jidħol. Li taqrah bħala lista ta' aċċess jipproduċi konfigurazzjonijiet li jirruttjaw traffiku li ħadd ma talab.

Qasam wieħed, żewġ qarrejja: għażla tal-ħruġ u verifika tas-sors

Fil-klijent, il-prefissi jiddeċiedu liema destinazzjonijiet jivvjaġġaw lejn dak il-peer u liema jibqgħu fuq in-netwerk ordinarju. Għalhekk entrata għal 0.0.0.0/0 taqbad kull destinazzjoni IPv4, u għalhekk l-importazzjoni ta' profil ta' tunnel sħiħ tibgħat l-ibbrawżjar ordinarju mill-magna remota. L-entrati dejqa jagħmlu l-oppost: jirruttjaw biss in-netwerks li elenkajt u jħallu kollox ieħor fejn kien. Is-sezzjoni dwar ir-routing tal-kriptoċwievet fid-dokumentazzjoni ta' WireGuard tagħti ż-żewġ xogħlijiet f'post wieħed: l-għażla tal-peer li joħroġ u l-verifika tas-sors li jidħol.

Fuq is-server, l-istess qasam jiddeskrivi liema indirizzi tas-sors jista' juża kull peer. Din hija verifika kriptografika u mhux filtru tal-pakketti: pakkett li s-sors intern tiegħu ma jaqbilx mal-lista tal-peer jintrema ġewwa WireGuard qabel ma jarah kwalunkwe firewall tal-host. Iż-żewġ xogħlijiet jaqsmu lista waħda, u għalhekk eżatt lista kopjata minn x'imkien ieħor ġġib ruħha ħażin f'post li ma kkunsidrajtx.

Il-blokk tal-klijent huwa fejn jibda l-biċċa l-kbira ta' din il-konfużjoni. Tunnel maqsum isemmi n-netwerks remoti, u tunnel sħiħ huwa l-istess qasam b'prefiss awtomatiku:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

Iż-żewġ forom huma kompluti waħedhom, u huma alternattivi mhux passi. L-ewwel tibgħat biss dawk iż-żewġ netwerks mit-tunnel; it-tieni tibgħat kull destinazzjoni, bl-entrata ::/0 żżid IPv6 mad-default IPv4. Liema tħtar, dawk il-prefissi huma d-deċiżjoni kollha tar-routing għal dak il-peer hekk kif wg-quick jibda jinstalla r-rotot.

L-hub jeħtieġ lista differenti

Hub jelenka l-indirizz tat-tunnel ta' kull klijent bħala prefiss tal-host, flimkien ma' kwalunkwe netwerk li verament jinsab wara dak il-klijent. Li tikkopja l-lista wiesgħa ta' klijent fuq kull peer tal-hub tgħid lill-hub li ħafna peers jistgħu jużaw l-istess indirizzi bħala sors, u dan mhux pjan ta' indirizzar. Il-qasam Endpoint jappartjeni għal saff kompletament ieħor: isemmi l-indirizz u l-port ta' barra tal-peer, qatt destinazzjoni ġewwa t-tunnel.

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

Il-prefiss tal-host iġorr l-indirizz tat-tunnel u l-prefiss tan-netwerk iġorr dak li jinsab wara l-klijent, u t-tnejn huma meħtieġa. Mingħajr il-prefiss tal-host l-hub ma jistax jirritorna t-traffiku tal-klijent stess, u mingħajr il-prefiss tan-netwerk il-LAN warajh jibqa' ma jintlaħaqx; peer li m'għandu xejn warajh jirċievi biss il-prefiss tal-host.

Li taqbeż l-installazzjoni tar-rotot tħalli vojt

wg-quick, l-għajnuna li tgħolli interface minn fajl ta' konfigurazzjoni, tinstalla indirizzi tal-interface u rotot bħala parti minn dak ix-xogħol. Li tissettja Table = off tgħid lill-għajnuna biex taqbeż ix-xogħol tar-rotot, li ma jinstalla ebda sostitut u ma jagħmilx in-netwerk privat aċċessibbli. Meta r-rotot awtomatiċi diġà jagħmlu x-xogħol, l-isem tal-prefissi li għandek bżonn hija l-konfigurazzjoni l-aktar ċara. Li titfi l-immaniġġjar tar-rotot u tħalli s-sostitut mhux miktub mhix disinn, hija omissjoni.

L-għodda bażika wg ġġib ruħha b'mod differenti: tikkonfigura l-interface u qatt ma tmiss rotot, għalhekk setup mibni direttament fuqha jeħtieġ il-kmandi tar-rotot tiegħu stess. Istruzzjonijiet miktuba għal għodda waħda jistgħu jidhru żbaljati meta jiġu segwiti mal-oħra. Ping ta' suċċess huwa wkoll prova dgħajfa, għax jeżerċita triq waħda mhux kull triq tal-applikazzjoni li għandek bżonn.

DNS u IPv6 jiġu deċiżi separatament

Iċċekkja l-indirizz tas-server DNS li tħabbar it-tunnel, u kkonferma li teżisti rotta lejn dak l-indirizz permezz tal-prefissi li għażilt. Setting tar-resolver ma jagħmilx ir-resolver aċċessibbli, u li tnaqqas tunnel jista' jneħħi bil-kwiet ir-rotta li kienet twassal hemm. Spezzjona wkoll IPv6 għalih, għax qsim IPv4 korrett ma jgħid xejn dwar rotta awtomatika IPv6 li għadha tipponta lejn il-link fiżiku. Tliet deċiżjonijiet separati jistgħu jinbidlu f'daqqa meta teditja blokk wieħed tal-peer.

Imbagħad iftaħ riżors privat wieħed u sit web ordinarju minn konfigurazzjoni tal-bidu magħrufa. Jekk ir-riżors iwieġeb u l-ibbrawżjar għadu joħroġ mill-konnessjoni lokali, il-qsim jagħmel dak li tlabt. Jekk l-ibbrawżjar jinqasam fl-istess mument, it-tunnel ħa r-rotta awtomatika u l-lista tal-prefissi hija l-post fejn għandek tħares.