WireGuard подељени тунел: подешавање без подразумеване руте

Подељени тунел дефинише оно што изостављате, а WireGuard ту одлуку доноси у једном пољу. AllowedIPs на клијентској страни истовремено бира које дестинације иду кроз тунел и филтрира које се унутрашње изворне адресе прихватају, а wg-quick исту листу претвара у руте хоста. Погрешите ли листу, тунел или гута све или не преноси ништа.

Прво одредите листу префикса

Запишите дестинације које морају да користе тунел пре него што дотакнете конфигурациону датотеку. Канцеларијске подмреже, опсег базе података, управљачка мрежа: сваки је префикс са разлогом. Све што није на листи остаје на физичкој путањи, и то је цела поента дизајна.

Ако листа садржи 0.0.0.0/0 или ::/0, изградили сте пун тунел и то треба да кажете, јер се начини отказа и очекивања DNS-а разликују.

Држите листу довољно кратком да рецензент касније може да је упореди са табелом рутирања.

Конфигурација клијента: peer, AllowedIPs, DNS

Блок интерфејса клијента садржи његову сопствену адресу тунела и приватни кључ. Блок peer-а садржи јавни кључ сервера, крајњу тачку и префиксе из првог корака:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs на клијенту је скуп удаљених дестинација, а не сопствена адреса клијента. DNS линија делује само кроз интеграцију резолвера у wg-quick, па ће је хост без подршке за resolvconf или systemd-resolved игнорисати. PersistentKeepalive одржава NAT мапирање живим и непотребан је на директној путањи.

Коментаришите сваки префикс услугом коју опслужује, иначе ће следеће уређивање бити нагађање.

Конфигурација сервера: супротна перспектива

На серверу peer запис представља клијента, па је његов AllowedIPs адреса клијентовог тунела, обично /32. То није канцеларијска подмрежа. Копирање клијентове листе у серверски запис најчешћа је грешка код подељеног тунела, и она или проширује приступ или квари унутрашњу проверу извора током руковања.

Сопствена адреса интерфејса сервера и руте које му требају према канцеларији одвојене су од сваког peer записа.

Две датотеке, две перспективе, један скуп префикса подељен између њих.

Подигните га и прочитајте руте

Покрените интерфејс подржаним менаџером, па погледајте шта је инсталирао, а не шта сте намеравали. wg-quick изводи руте из AllowedIPs; ако профил постави Table = off, ништа се не инсталира и рутирање је ваше. Прочитајте руту за сваки префикс и потврдите да показује на WireGuard интерфејс. Празна листа рута обично значи да примењени профил није онај који сте уређивали.

Проверите и бројаче руковања, јер peer без руковања има проблем с кључем, крајњом тачком или доступношћу, а не с рутирањем.

Запишите тачну команду коју сте користили, јер ће је следећа особа извршити под притиском.

Проверите обе стране, затим запишите враћање

Тестирајте приватну адресу, њено интерно име и дестинацију која мора да остане директна. Ако приватна адреса ради, а директна дестинација сада излази кроз тунел, листа префикса је преширока. Ако име не успе, док адреса ради, DNS линија није ступила на снагу. Враћање је једна команда и припада истој белешци.

После поновног повезивања потврдите да су руте још тамо, јер менаџер који поново примењује профил може да замени ручне руте.

Држите једног власника конфигурације, јер ће се два менаџера која производе исти интерфејс пре или касније разићи. Приручник за wg-quick документује понашање рута и DNS-а које пружа.