Tuneli iliyogawanywa ya WireGuard: iunda bila njia chaguo-msingi

Tuneli iliyogawanywa inafafanuliwa na kile unachoacha nje, na WireGuard hufanya uamuzi huo katika sehemu moja. AllowedIPs kwenye peer ya mteja huchagua kwa wakati mmoja ni maeneo gani yanayopita kwenye tuneli na huchuja anwani zipi za ndani za chanzo zinazokubaliwa, na wg-quick hubadilisha orodha hiyo hiyo kuwa njia za mwenyeji. Ikiwa orodha ni mbaya, tuneli ama inameza kila kitu au haibebi chochote.

Kwanza amua orodha ya viambishi

Andika maeneo ambayo lazima yatumie tuneli kabla ya kugusa faili ya usanidi. Subneti za ofisi, safu ya hifadhidata, mtandao wa usimamizi: kila moja ni kiambishi chenye sababu. Kila kitu kisicho kwenye orodha kinabaki kwenye njia halisi, na hilo ndilo lengo lote la muundo.

Ikiwa orodha ina 0.0.0.0/0 au ::/0, umejenga tuneli kamili na unapaswa kusema hivyo, kwa sababu hali za kushindwa na matarajio ya DNS ni tofauti.

Weka orodha fupi vya kutosha ili mkaguzi aweze kuilinganisha na jedwali la uelekezaji baadaye.

Usanidi wa mteja: peer, AllowedIPs, DNS

Kizuizi cha kiolesura cha mteja kina anwani yake ya tuneli na ufunguo wa faragha. Kizuizi cha peer kina ufunguo wa umma wa seva, ncha ya mwisho na viambishi vya hatua ya kwanza:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs kwenye mteja ni seti ya maeneo ya mbali, si anwani ya mteja mwenyewe. Mstari wa DNS hufanya kazi tu kupitia ujumuishaji wa kisuluhishi cha wg-quick, kwa hivyo mwenyeji asiye na msaada wa resolvconf au systemd-resolved atapuuza. PersistentKeepalive huweka ramani ya NAT hai na haihitajiki kwenye njia ya moja kwa moja.

Toa maoni kwa kila kiambishi kwa huduma inayohudumia, vinginevyo uhariri unaofuata utakuwa ubashiri.

Usanidi wa seva: mtazamo kinyume

Kwenye seva, ingizo la peer linawakilisha mteja, kwa hivyo AllowedIPs yake ni anwani ya tuneli ya mteja, kwa kawaida /32. Si subneti ya ofisi. Kunakili orodha ya mteja kwenye ingizo la seva ni kosa la kawaida zaidi la tuneli iliyogawanywa, na ama hupanua ufikiaji au huvunja ukaguzi wa chanzo cha ndani wakati wa kupeana mkono.

Anwani ya kiolesura ya seva yenyewe, na njia zinazohitajika kuelekea ofisi, zimetenganishwa na ingizo lolote la peer.

Faili mbili, mitazamo miwili, seti moja ya viambishi iliyogawanywa kati yao.

Iinue na usome njia

Anzisha kiolesura kwa msimamizi anayeungwa mkono, kisha angalia kile kilichosakinishwa, si kile ulichokusudia. wg-quick hupata njia kutoka AllowedIPs; ikiwa wasifu unaweka Table = off, hakuna kinachosakinishwa na uelekezaji ni wako. Soma njia ya kila kiambishi na uthibitisha inaelekea kiolesura cha WireGuard. Orodha tupu ya njia kwa kawaida inamaanisha wasifu uliotumika si ule uliouhariri.

Angalia pia vihesabu vya kupeana mkono, kwa sababu peer isiyo na kupeana mkono ina tatizo la ufunguo, ncha ya mwisho au ufikivu, si la uelekezaji.

Andika amri kamili uliyotumia, kwa sababu mtu anayefuata ataitekeleza chini ya shinikizo.

Thibitisha pande zote mbili, kisha andika urejeshaji

Jaribu anwani ya faragha, jina lake la ndani na eneo ambalo lazima libaki moja kwa moja. Ikiwa anwani ya faragha inafanya kazi na eneo la moja kwa moja sasa linatoka kupitia tuneli, orodha ya viambishi ni pana mno. Ikiwa jina linashindwa wakati anwani inafanya kazi, mstari wa DNS haukuanza kutumika. Urejeshaji ni amri moja, na ni ya noti hiyo hiyo.

Baada ya kuunganisha tena, thibitisha kwamba njia bado zipo, kwa sababu msimamizi anayetumia wasifu tena anaweza kuchukua nafasi ya njia za mikono.

Weka mmiliki mmoja wa usanidi, kwa sababu wasimamizi wawili wanaozalisha kiolesura kimoja hatimaye hawatakubaliana. Mwongozo wa wg-quick unaandika tabia ya njia na DNS inayotoa.