AllowedIPs је листа усмеравања, а не правило заштитног зида

Већина људи чита AllowedIPs као листу дозвола, скуп адреса које могу да се повежу са партнером, приближно као правило заштитног зида написано за тунел. Није тако. Поље је табела усмеравања која ради у оба смера: бира партнера за одлазни пакет и проверава извор долазног. Читање као листе приступа ствара конфигурације које усмеравају саобраћај који нико није тражио.

Једно поље, два читача: избор одлазног и провера извора

Код клијента, префикси одлучују која одредишта путују ка том партнеру, а која остају на обичној мрежи. Зато унос за 0.0.0.0/0 захвата свако одредиште IPv4, и зато увоз профила пуног тунела шаље обично прегледање кроз удаљену машину. Уски уноси раде супротно: усмеравају само мреже које сте навели, а све остало остављају где је било. Одељак о усмеравању криптокључева у документацији WireGuard наводи оба посла на једном месту: избор одлазног партнера и проверу долазног извора.

На серверу, исто поље описује које изворне адресе сваки партнер сме да користи. То је криптографска провера, а не филтер пакета: пакет чији се унутрашњи извор не поклапа са листом партнера одбацује се унутар WireGuard пре него што га види било који заштитни зид домаћина. Оба посла деле једну листу, и баш зато листа копирана са другог места понаша се погрешно на месту које нисте узели у обзир.

Блок клијента је место где почиње већина ове збрке. Подељени тунел именује удаљене мреже, а пуни тунел је исто поље са подразумеваним префиксом:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

Оба облика су сама по себи потпуна, и они су алтернативе, а не кораци. Први шаље кроз тунел само те две мреже; други шаље свако одредиште, а унос ::/0 додаје IPv6 на подразумевани IPv4. Који год да изаберете, ти префикси су цела одлука о усмеравању за тог партнера када wg-quick почне да инсталира руте.

Чвориште захтева другачију листу

Чвориште наводи адресу тунела сваког клијента као префикс домаћина, плус сваку мрежу која заиста стоји иза тог клијента. Копирање широке листе клијента на сваког партнера чворишта говори чворишту да многи партнери могу да користе исте адресе као извор, а то није план адреса. Поље Endpoint припада потпуно другом слоју: наводи спољну адресу и порт партнера, никада одредиште унутар тунела.

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

Префикс домаћина носи адресу тунела, а мрежни префикс носи оно што стоји иза клијента, и оба су потребна. Без префикса домаћина чвориште не може да врати сопствени саобраћај клијента, а без мрежног префикса LAN иза њега остаје недоступан; партнер иза кога нема ничега добија само префикс домаћина.

Прескакање инсталације рута оставља празнину

wg-quick, помоћник који подиже интерфејс из конфигурационе датотеке, инсталира адресе интерфејса и руте као део тог посла. Постављање Table = off каже помоћнику да прескочи рад са рутама, што не инсталира замене и не чини приватну мрежу доступном. Када аутоматске руте већ обављају посао, именовање потребних префикса је јаснија конфигурација. Искључити управљање рутама и оставити замену ненаписану није дизајн, то је пропуст.

Основни алат wg понаша се другачије: конфигурише интерфејс и никада не дира руте, па поставка изграђена директно на њему захтева сопствене команде за руте. Упутства написана за један алат могу изгледати погрешно када се прате са другим. Успешан ping је такође слаб доказ, јер проверава једну путању, а не сваку путању апликације која вам је потребна.

DNS и IPv6 се одлучују одвојено

Проверите адресу DNS сервера коју тунел објављује и потврдите да кроз изабране префиксе постоји рута до те адресе. Подешавање резолвера не чини резолвер доступним, а сужавање тунела може тихо да уклони руту која је водила тамо. Прегледајте и IPv6 одвојено, јер исправна подела IPv4 не говори ништа о подразумеваној рути IPv6 која и даље показује на физичку везу. Три одвојене одлуке могу се променити одједном када уређујете један блок партнера.

Затим отворите један приватни ресурс и један обичан веб-сајт из познате почетне конфигурације. Ако ресурс одговори и прегледање и даље излази кроз локалну везу, подела ради оно што сте тражили. Ако се прегледање поквари у истом тренутку, тунел је узео подразумевану руту и листа префикса је место где треба погледати.