WireGuard delt tunnel: set han opp utan standardrute

Ein delt tunnel blir definert av det du utelèt, og WireGuard tek den avgjerda i eitt felt. AllowedIPs på peeren til klienten vel samstundes kva mål som går gjennom tunnelen og filtrerer kva interne kjeldeadresser som blir godtekne, og wg-quick gjer same lista om til vertsruter. Tek du feil av lista, slukar tunnelen alt eller ber ingenting.

Fastset prefikslista først

Skriv ned måla som må bruke tunnelen før du rører ei konfigurasjonsfil. Kontornett, eit databaseområde, eit administrasjonsnett: kvar er eit prefiks med ein grunn. Alt som ikkje står på lista, blir på den fysiske vegen, og det er heile poenget med designet.

Viss lista inneheld 0.0.0.0/0 eller ::/0, har du bygd ein full tunnel og bør seie det, fordi feilmodusane og DNS-forventningane er ulike.

Hald lista kort nok til at ein gjennomgåar seinare kan kontrollere henne mot rutetabellen.

Klientkonfigurasjon: peer, AllowedIPs, DNS

Grensesnittblokka til klienten inneheld hans eigen tunneladresse og private nøkkel. Peerblokka inneheld den offentlege nøkkelen til tenaren, endepunktet og prefiksa frå første trinn:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs på klienten er settet med eksterne mål, ikkje den eigne adressa til klienten. DNS-linja verkar berre gjennom resolverintegrasjonen i wg-quick, så ein vert utan støtte for resolvconf eller systemd-resolved ignorerer henne. PersistentKeepalive held ei NAT-mapping i live og er unødvendig på ein direkte veg.

Kommenter kvart prefiks med tenesta det tener, elles blir neste endring gjetting.

Tenarkonfigurasjon: det motsette synet

På tenaren representerer peer-oppføringa klienten, så AllowedIPs hennar er tunneladressa til klienten, vanlegvis ein /32. Det er ikkje kontornettet. Å kopiere lista til klienten inn i tenaroppføringa er den vanlegaste feilen ved delt tunnel, og ho utvidar anten tilgangen eller øydelegg den interne kjeldekontrollen ved handtrykket.

Den eigne grensesnittadressa til tenaren og rutene han treng mot kontoret, er skilde frå kvar einaste peer-oppføring.

To filer, to syn, eitt sett prefiks delt mellom dei.

Ta han opp og les rutene

Start grensesnittet med den støtta administratoren og sjå deretter på kva han installerte, ikkje kva du hadde tenkt. wg-quick leier ut ruter frå AllowedIPs; viss profilen set Table = off, blir ingenting installert og ruteringa er di. Les ruta for kvart prefiks og stadfest at ho peikar på WireGuard-grensesnittet. Ei tom ruteliste tyder vanlegvis at profilen som vart brukt, ikkje er den du redigerte.

Sjekk òg handtryksteljarane, fordi ein peer utan handtrykk har eit nøkkel-, endepunkt- eller tilgjengelegheitsproblem, ikkje eit ruteringsproblem.

Skriv ned den nøyaktige kommandoen du brukte, fordi neste person vil køyre han under press.

Stadfest begge sider, og noter deretter tilbakerullinga

Test ei privat adresse, det interne namnet hennar og eit mål som må halde fram med å vere direkte. Viss den private adressa verkar og det direkte målet no går ut gjennom tunnelen, er prefikslista for brei. Viss namnet feilar medan adressa verkar, tredde ikkje DNS-linja i kraft. Tilbakerulling er éin kommando, og han høyrer i same notatet.

Etter ei gjentilkopling, stadfest at rutene framleis er der, fordi ein administrator som brukar profilen på nytt, kan erstatte manuelle ruter.

Hald éin konfigurasjonseigar, fordi to administratorar som produserer same grensesnitt, vil før eller seinare bli usamde. wg-quick-handboka dokumenterer rute- og DNS-åtferda ho tilbyr.