WireGuard razdeljen tunel: nastavitev brez privzete poti

Razdeljen tunel je določen s tem, kar izpustite, in WireGuard to odločitev sprejme v enem polju. AllowedIPs na strani klienta hkrati izbere, katere destinacije gredo skozi tunel, in filtrira, kateri notranji naslovi vira so sprejeti, wg-quick pa isti seznam spremeni v poti gostitelja. Če je seznam napačen, tunel požre vse ali pa nič ne prenese.

Najprej določite seznam predpon

Zapišite destinacije, ki morajo uporabljati tunel, preden se dotaknete konfiguracijske datoteke. Pisarniška podomrežja, obseg podatkovne baze, upravljalno omrežje: vsaka je predpona z razlogom. Vse, česar ni na seznamu, ostane na fizični poti, in to je ves smisel zasnove.

Če seznam vsebuje 0.0.0.0/0 ali ::/0, ste zgradili polni tunel in to bi morali povedati, ker so načini odpovedi in pričakovanja DNS drugačni.

Seznam naj bo dovolj kratek, da ga lahko pregledovalec pozneje primerja s tabelo usmerjanja.

Konfiguracija klienta: peer, AllowedIPs, DNS

Blok vmesnika klienta vsebuje njegov lastni naslov tunela in zasebni ključ. Blok peer vsebuje javni ključ strežnika, končno točko in predpone iz prvega koraka:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs na klientu je množica oddaljenih destinacij, ne lastni naslov klienta. Vrstica DNS deluje samo prek integracije razreševalnika v wg-quick, zato jo gostitelj brez podpore za resolvconf ali systemd-resolved prezre. PersistentKeepalive ohranja preslikavo NAT živo in na neposredni poti ni potreben.

Komentirajte vsako predpono s storitvijo, ki ji služi, sicer bo naslednje urejanje ugibanje.

Konfiguracija strežnika: nasprotni pogled

Na strežniku vnos peer predstavlja klienta, zato je njegov AllowedIPs naslov klientovega tunela, običajno /32. To ni pisarniško podomrežje. Kopiranje klientovega seznama v vnos strežnika je najpogostejša napaka razdeljenega tunela in bodisi razširi dostop bodisi pokvari notranje preverjanje vira pri rokovanju.

Lastni naslov vmesnika strežnika in poti, ki jih potrebuje proti pisarni, so ločeni od vsakega vnosa peer.

Dve datoteki, dva pogleda, en nabor predpon, razdeljen med njima.

Dvignite ga in preberite poti

Zaženite vmesnik s podprtim upraviteljem in nato poglejte, kaj je namestil, ne kaj ste nameravali. wg-quick izpelje poti iz AllowedIPs; če profil nastavi Table = off, se nič ne namesti in usmerjanje je vaše. Preberite pot za vsako predpono in potrdite, da kaže na vmesnik WireGuard. Prazen seznam poti običajno pomeni, da uporabljeni profil ni tisti, ki ste ga urejali.

Preverite tudi števce rokovanja, ker ima peer brez rokovanja težavo s ključem, končno točko ali dosegljivostjo, ne z usmerjanjem.

Zapišite točen ukaz, ki ste ga uporabili, ker ga bo naslednja oseba izvedla pod pritiskom.

Preverite obe strani in nato zapišite razveljavitev

Preizkusite zasebni naslov, njegovo notranje ime in cilj, ki mora ostati neposreden. Če zasebni naslov deluje in neposredni cilj zdaj odhaja skozi tunel, je seznam predpon preširok. Če ime spodleti, medtem ko naslov deluje, vrstica DNS ni začela veljati. Razveljavitev je en ukaz in spada v isto opombo.

Po ponovni povezavi potrdite, da so poti še vedno tam, ker lahko upravitelj, ki profil znova uporabi, zamenja ročne poti.

Ohranite enega lastnika konfiguracije, ker se bosta dva upravitelja, ki ustvarjata isti vmesnik, prej ali slej razhajala. Priročnik wg-quick dokumentira vedenje poti in DNS, ki ga zagotavlja.