WireGuard delt tunnel: sett den opp uten standardrute

En delt tunnel er prefikslisten du utelater. Legg de eksterne områdene på klientens peer, klientens adresse på serverens peer, og les deretter rutene.

En delt tunnel defineres av det du utelater, og WireGuard tar den avgjørelsen i ett felt. AllowedIPs på klientens peer velger samtidig hvilke destinasjoner som går gjennom tunnelen og filtrerer hvilke interne kildeadresser som godtas, og wg-quick gjør samme liste om til vertsruter. Tar du feil av listen, sluker tunnelen alt eller bærer ingenting.

Bestem prefikslisten først

Skriv ned destinasjonene som må bruke tunnelen før du rører en konfigurasjonsfil. Kontornett, et databaseområde, et administrasjonsnett: hver er et prefiks med en grunn. Alt som ikke står på listen, blir på den fysiske veien, og det er hele poenget med designet.

Hvis listen inneholder 0.0.0.0/0 eller ::/0, har du bygget en full tunnel og bør si det, fordi feilmodusene og DNS-forventningene er forskjellige.

Hold listen kort nok til at en anmelder senere kan kontrollere den mot rutetabellen.

Klientkonfigurasjon: peer, AllowedIPs, DNS

Klientens grensesnittblokk inneholder dens egen tunneladresse og private nøkkel. Peerblokken inneholder serverens offentlige nøkkel, endepunktet og prefiksene fra første trinn:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs på klienten er settet med eksterne destinasjoner, ikke klientens egen adresse. DNS-linjen virker bare gjennom wg-quicks resolverintegrasjon, så en vert uten støtte for resolvconf eller systemd-resolved ignorerer den. PersistentKeepalive holder en NAT-mapping i live og er unødvendig på en direkte vei.

Kommenter hvert prefiks med tjenesten det betjener, ellers blir neste redigering gjetning.

Serverkonfigurasjon: det motsatte synspunktet

På serveren representerer peer-oppføringen klienten, så dens AllowedIPs er klientens tunneladresse, vanligvis en /32. Det er ikke kontornettet. Å kopiere klientens liste inn i serveroppføringen er den vanligste feilen ved delt tunnel, og den utvider enten tilgangen eller ødelegger den interne kildekontrollen ved håndtrykket.

Serverens egen grensesnittadresse og rutene den trenger mot kontoret, er atskilt fra enhver peer-oppføring.

To filer, to synspunkter, ett sett prefikser delt mellom dem.

Ta den opp og les rutene

Start grensesnittet med den støttede administratoren og se deretter på hva den installerte, ikke hva du hadde tenkt. wg-quick utleder ruter fra AllowedIPs; hvis profilen setter Table = off, installeres ingenting og rutingen er din. Les ruten for hvert prefiks og bekreft at den peker på WireGuard-grensesnittet. En tom ruteliste betyr vanligvis at profilen som ble brukt, ikke er den du redigerte.

Sjekk også håndtrykkstellerne, fordi en peer uten håndtrykk har et nøkkel-, endepunkt- eller tilgjengelighetsproblem, ikke et ruteringsproblem.

Skriv ned den nøyaktige kommandoen du brukte, fordi neste person vil kjøre den under press.

Verifiser begge sider, og noter deretter tilbakerullingen

Test en privat adresse, dens interne navn og en destinasjon som må forbli direkte. Hvis den private adressen virker og den direkte nå går ut gjennom tunnelen, er prefikslisten for bred. Hvis navnet feiler mens adressen virker, trådte ikke DNS-linjen i kraft. Tilbakerulling er én kommando, og den hører i samme notat.

Etter en gjentilkobling, bekreft at rutene fortsatt er der, fordi en administrator som bruker profilen på nytt, kan erstatte manuelle ruter.

Hold én konfigurasjonseier, fordi to administratorer som produserer samme grensesnitt, vil før eller siden bli uenige. wg-quick-håndboken dokumenterer rute- og DNS-atferden den tilbyr.

Relaterte artikler