WireGuard rozdelený tunel: nastavenie bez predvolenej trasy

Rozdelený tunel je definovaný tým, čo vynecháte, a WireGuard to rozhodne v jednom poli. AllowedIPs na strane klienta zároveň vyberá, ktoré ciele pôjdu tunelom, a filtruje, ktoré vnútorné zdrojové adresy sa prijmú, a wg-quick premení ten istý zoznam na trasy hostiteľa. Ak zoznam pokazíte, tunel buď pohltí všetko, alebo nič neprevedie.

Najprv určte zoznam prefixov

Zapíšte ciele, ktoré musia používať tunel, skôr než sa dotknete konfiguračného súboru. Kancelárske podsiete, rozsah databázy, správcovská sieť: každý je prefix s dôvodom. Všetko, čo nie je v zozname, zostáva na fyzickej ceste, a to je celý zmysel návrhu.

Ak zoznam obsahuje 0.0.0.0/0 alebo ::/0, postavili ste plný tunel a mali by ste to povedať, pretože režimy zlyhania a očakávania DNS sa líšia.

Držte zoznam dosť krátky, aby ho recenzent mohol neskôr porovnať s routovacou tabuľkou.

Konfigurácia klienta: peer, AllowedIPs, DNS

Blok rozhrania klienta obsahuje jeho vlastnú adresu tunela a súkromný kľúč. Blok peer obsahuje verejný kľúč servera, koncový bod a prefixy z prvého kroku:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs na klientovi je množina vzdialených cieľov, nie vlastná adresa klienta. Riadok DNS sa uplatní iba cez integráciu resolvera vo wg-quick, takže hostiteľ bez podpory resolvconf alebo systemd-resolved ho bude ignorovať. PersistentKeepalive udržiava mapovanie NAT živé a na priamej ceste nie je potrebný.

Okomentujte každý prefix službou, ktorej slúži, inak bude ďalšia úprava hádaním.

Konfigurácia servera: opačný pohľad

Na serveri záznam peer predstavuje klienta, takže jeho AllowedIPs je adresa tunela klienta, zvyčajne /32. Nie je to kancelárska podsiet. Kopírovanie zoznamu klienta do záznamu servera je najčastejšia chyba rozdeleného tunela a buď rozšíri prístup, alebo pokazí kontrolu vnútorného zdroja pri handshake.

Vlastná adresa rozhrania servera a trasy, ktoré potrebuje ku kancelárii, sú oddelené od akéhokoľvek záznamu peer.

Dva súbory, dva pohľady, jedna sada prefixov rozdelená medzi ne.

Zdvihnite ho a prečítajte trasy

Spustite rozhranie podporovaným správcom a potom sa pozrite, čo nainštaloval, nie čo ste zamýšľali. wg-quick odvodzuje trasy z AllowedIPs; ak profil nastaví Table = off, nič sa nenainštaluje a smerovanie je na vás. Prečítajte trasu pre každý prefix a potvrďte, že ukazuje na rozhranie WireGuard. Prázdny zoznam trás zvyčajne znamená, že použitý profil nie je ten, ktorý ste upravovali.

Skontrolujte aj počítadlá handshake, pretože peer bez handshake má problém s kľúčom, koncovým bodom alebo dostupnosťou, nie so smerovaním.

Zapíšte presný príkaz, ktorý ste použili, pretože ďalší človek ho spustí pod tlakom.

Overte obe strany a potom zapíšte návrat

Otestujte súkromnú adresu, jej interný názov a cieľ, ktorý musí zostať priamy. Ak súkromná adresa funguje a priamy cieľ teraz odchádza tunelom, zoznam prefixov je príliš široký. Ak názov zlyhá, zatiaľ čo adresa funguje, riadok DNS sa neuplatnil. Návrat je jeden príkaz a patrí do tej istej poznámky.

Po opätovnom pripojení potvrďte, že trasy sú stále na mieste, pretože správca, ktorý znova použije profil, môže nahradiť ručné trasy.

Majte jedného vlastníka konfigurácie, pretože dvaja správcovia vytvárajúci to isté rozhranie sa skôr či neskôr rozídu. Manuál wg-quick dokumentuje správanie trás a DNS, ktoré poskytuje.