Tuneli i ndarë WireGuard: konfigurojeni pa rrugë të paracaktuar

Një tunel i ndarë përcaktohet nga ajo që lini jashtë, dhe WireGuard e merr atë vendim në një fushë të vetme. AllowedIPs te piri i klientit zgjedh njëkohësisht cilat destinacione kalojnë nëpër tunel dhe filtron cilat adresa burimore të brendshme pranohen, dhe wg-quick e kthen të njëjtën listë në rrugë hosti. Nëse lista është gabim, tuneli ose gëlltit gjithçka ose nuk mbart asgjë.

Së pari përcaktoni listën e prefiksave

Shkruani destinacionet që duhet të përdorin tunelin përpara se të prekni një skedar konfigurimi. Nënrrjeta zyre, një interval baze të dhënash, një rrjet menaxhimi: secili është një prefiks me një arsye. Gjithçka që nuk është në listë mbetet në rrugën fizike, dhe ky është i gjithë qëllimi i dizajnit.

Nëse lista përmban 0.0.0.0/0 ose ::/0, keni ndërtuar një tunel të plotë dhe duhet ta thoni, sepse mënyrat e dështimit dhe pritjet e DNS janë të ndryshme.

Mbajeni listën mjaftueshëm të shkurtër që një recensent ta krahasojë më vonë me tabelën e rrugëtimit.

Konfigurimi i klientit: peer, AllowedIPs, DNS

Bloku i ndërfaqes së klientit përmban adresën e tij të tunelit dhe çelësin privat. Bloku i pirit përmban çelësin publik të serverit, pikën fundore dhe prefikset e hapit të parë:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs te klienti është grupi i destinacioneve të largëta, jo adresa e vetë klientit. Rreshti DNS vepron vetëm përmes integrimit të zgjidhësit të wg-quick, kështu që një host pa mbështetje për resolvconf ose systemd-resolved do ta shpërfillë. PersistentKeepalive mban gjallë një hartëzim NAT dhe është i panevojshëm në një rrugë të drejtpërdrejtë.

Komentoni çdo prefiks me shërbimin që i shërben, përndryshe redaktimi tjetër do të jetë hamendje.

Konfigurimi i serverit: këndvështrimi i kundërt

Te serveri, zëri i pirit përfaqëson klientin, kështu që AllowedIPs i tij është adresa e tunelit të klientit, zakonisht /32. Nuk është nënrrjeta e zyrës. Kopjimi i listës së klientit te zëri i serverit është gabimi më i zakonshëm i tunelit të ndarë, dhe ose zgjeron aksesin ose thyen kontrollin e burimit të brendshëm në kohën e shtrëngimit të duarve.

Adresa e ndërfaqes së vetë serverit dhe rrugët që i nevojiten drejt zyrës janë të ndara nga çdo zë piri.

Dy skedarë, dy këndvështrime, një grup prefiksesh i ndarë mes tyre.

Ngrijeni dhe lexoni rrugët

Nisni ndërfaqen me menaxherin e mbështetur dhe më pas shikoni çfarë instaloi, jo çfarë kishit ndërmend. wg-quick nxjerr rrugët nga AllowedIPs; nëse profili vendos Table = off, asgjë nuk instalohet dhe rrugëtimi është përgjegjësia juaj. Lexoni rrugën për çdo prefiks dhe konfirmoni se tregon drejt ndërfaqes WireGuard. Një listë e zbrazët rrugësh zakonisht do të thotë se profili i aplikuar nuk është ai që keni redaktuar.

Kontrolloni edhe numëruesit e shtrëngimit të duarve, sepse një pir pa shtrëngim duarsh ka problem çelësi, pike fundore ose arritshmërie, jo rrugëtimi.

Shkruani komandën e saktë që përdorët, sepse personi tjetër do ta ekzekutojë nën presion.

Verifikoni të dyja anët dhe më pas shënoni kthimin

Provoni një adresë private, emrin e saj të brendshëm dhe një destinacion që duhet të mbetet i drejtpërdrejtë. Nëse adresa private funksionon dhe destinacioni i drejtpërdrejtë tani del përmes tunelit, lista e prefiksave është shumë e gjerë. Nëse emri dështon ndërsa adresa funksionon, rreshti DNS nuk ka hyrë në fuqi. Kthimi është një komandë dhe i përket të njëjtit shënim.

Pas një rilidhjeje, konfirmoni se rrugët janë ende aty, sepse një menaxher që riaplikon profilin mund të zëvendësojë rrugët manuale.

Mbani një pronar të vetëm të konfigurimit, sepse dy menaxherë që prodhojnë të njëjtën ndërfaqe përfundimisht nuk do të bien dakord. Manuali i wg-quick dokumenton sjelljen e rrugëve dhe DNS që ofron.