Tunnel maqsum WireGuard: ikkonfigurah mingħajr rotta prestabbilita

Tunnel maqsum huwa definit minn dak li tħalli barra, u WireGuard jieħu din id-deċiżjoni f'qasam wieħed. L-AllowedIPs tal-peer tal-klijent jagħżel fl-istess ħin liema destinazzjonijiet jgħaddu mit-tunnel u jiffiltra liema indirizzi tas-sors interni jiġu aċċettati, u wg-quick ibiddel l-istess lista f'rotot tal-host. Jekk il-lista tkun ħażina, it-tunnel jew jibla' kollox jew ma jġorr xejn.

Iddeċiedi l-lista ta' prefissi l-ewwel

Ikteb id-destinazzjonijiet li għandhom jużaw it-tunnel qabel ma tmiss fajl ta' konfigurazzjoni. Subnets tal-uffiċċju, medda ta' database, netwerk ta' ġestjoni: kull wieħed huwa prefiss b'raġuni. Kollox li mhuwiex fil-lista jibqa' fuq il-passaġġ fiżiku, u dan huwa l-iskop kollu tad-disinn.

Jekk il-lista fiha 0.0.0.0/0 jew ::/0, tkun bnejt tunnel sħiħ u għandek tgħid hekk, għax il-modi ta' falliment u l-aspettattivi tad-DNS huma differenti.

Żomm il-lista qasira biżżejjed biex reviżur ikun jista' jqabbilha mat-tabella tar-rotot aktar tard.

Konfigurazzjoni tal-klijent: peer, AllowedIPs, DNS

Il-blokka tal-interface tal-klijent fiha l-indirizz tat-tunnel tiegħu stess u l-muftieħ privat. Il-blokka tal-peer fiha l-muftieħ pubbliku tas-server, l-endpoint u l-prefissi mill-ewwel pass:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs fuq il-klijent huwa s-sett ta' destinazzjonijiet remoti, mhux l-indirizz tal-klijent stess. Il-linja DNS taħdem biss permezz tal-integrazzjoni tar-resolver ta' wg-quick, għalhekk host mingħajr appoġġ għal resolvconf jew systemd-resolved se jinjoraha. PersistentKeepalive iżomm immappjar NAT ħaj u mhuwiex meħtieġ fuq passaġġ dirett.

Ikkummenta kull prefiss bis-servizz li jaqdi, inkella l-editjar li jmiss ikun tħassib.

Konfigurazzjoni tas-server: il-perspettiva opposta

Fuq is-server, id-dħul tal-peer jirrappreżenta lill-klijent, għalhekk l-AllowedIPs tiegħu huwa l-indirizz tat-tunnel tal-klijent, normalment /32. Mhuwiex is-subnet tal-uffiċċju. L-ikkupjar tal-lista tal-klijent fid-dħul tas-server huwa l-iżball l-aktar komuni tat-tunnel maqsum, u jew iwessa' l-aċċess jew ikisser il-verifika tas-sors intern waqt il-handshake.

L-indirizz tal-interface tas-server innifsu, u r-rotot li jeħtieġ lejn l-uffiċċju, huma separati minn kull dħul tal-peer.

Żewġ fajls, żewġ perspettivi, sett wieħed ta' prefissi maqsum bejniethom.

Tellgħu u aqra r-rotot

Ibda l-interface bil-maniġer appoġġjat, imbagħad ħares lejn dak li installa, mhux dak li kellek f'moħħok. wg-quick joħroġ ir-rotot mill-AllowedIPs; jekk il-profil jistabbilixxi Table = off, xejn ma jiġi installat u r-routing huwa tiegħek. Aqra r-rotta għal kull prefiss u kkonferma li tindika lejn l-interface WireGuard. Lista vojta ta' rotot normalment tfisser li l-profil applikat mhuwiex dak li editjajt.

Iċċekkja wkoll il-kontaturi tal-handshake, għax peer mingħajr handshake għandu problema ta' muftieħ, endpoint jew aċċessibbiltà, mhux problema ta' routing.

Ikteb il-kmand eżatt li użajt, għax il-persuna li jmiss se taħdem taħt pressjoni.

Ivverifika ż-żewġ naħat, imbagħad innota r-rollback

Ittestja indirizz privat, ismu intern u destinazzjoni li trid tibqa' diretta. Jekk l-indirizz privat jaħdem u d-destinazzjoni diretta issa toħroġ mit-tunnel, il-lista ta' prefissi hija wiesgħa wisq. Jekk l-isem ifalli waqt li l-indirizz jaħdem, il-linja DNS ma daħlitx fis-seħħ. Ir-rollback huwa kmand wieħed, u jappartjeni għall-istess nota.

Wara rikonnessjoni, ikkonferma li r-rotot għadhom hemm, għax maniġer li jerġa' japplika l-profil jista' jissostitwixxi rotot manwali.

Żomm sid wieħed tal-konfigurazzjoni, għax żewġ maniġers li jipproduċu l-istess interface fl-aħħar se jaqblu ħażin. Il-manwal ta' wg-quick jiddokumenta l-imġiba tar-rotot u tad-DNS li jipprovdi.