AllowedIPs คือรายการเส้นทาง ไม่ใช่กฎไฟร์วอลล์

คนส่วนใหญ่อ่าน AllowedIPs เป็นรายการอนุญาต คือกลุ่มที่อยู่ที่เชื่อมต่อกับพีร์ได้ คล้ายกฎไฟร์วอลล์ที่เขียนไว้สำหรับทันเนล ไม่ใช่แบบนั้น ฟิลด์นี้คือตารางเส้นทางที่ทำงานทั้งสองทิศทาง: เลือกพีร์สำหรับแพ็กเก็ตขาออก และตรวจสอบแหล่งของแพ็กเก็ตขาเข้า การอ่านเป็นรายการการเข้าถึงทำให้ได้การกำหนดค่าที่กำหนดเส้นทางทราฟฟิกที่ไม่มีใครขอ

ฟิลด์เดียว ผู้อ่านสองคน: การเลือกขาออกและการตรวจแหล่ง

ที่ไคลเอนต์ คำนำหน้ากำหนดว่าปลายทางใดไปยังพีร์นั้นและปลายทางใดอยู่บนเครือข่ายปกติ ดังนั้นรายการสำหรับ 0.0.0.0/0 จึงจับทุกปลายทาง IPv4 และนั่นคือเหตุผลที่การนำเข้าโปรไฟล์ทันเนลเต็มรูปแบบส่งการท่องเว็บปกติผ่านเครื่องระยะไกล รายการแคบทำตรงกันข้าม: กำหนดเส้นทางเฉพาะเครือข่ายที่คุณระบุและปล่อยส่วนที่เหลือไว้ที่เดิม หัวข้อการกำหนดเส้นทางคีย์เข้ารหัส ในเอกสาร WireGuard กล่าวถึงงานทั้งสองในที่เดียว: การเลือกพีร์ขาออกและการตรวจสอบแหล่งขาเข้า

ที่เซิร์ฟเวอร์ ฟิลด์เดียวกันอธิบายว่าพีร์แต่ละตัวใช้ที่อยู่ต้นทางใดได้บ้าง นี่คือการตรวจสอบเชิงรหัสลับ ไม่ใช่ตัวกรองแพ็กเก็ต: แพ็กเก็ตที่แหล่งภายในไม่ตรงกับรายการของพีร์จะถูกทิ้งภายใน WireGuard ก่อนที่ไฟร์วอลล์ใดบนโฮสต์จะเห็น งานทั้งสองใช้รายการเดียว และนั่นคือเหตุผลที่รายการที่คัดลอกจากที่อื่นทำงานผิดในจุดที่คุณไม่ได้คำนึงถึง

บล็อกไคลเอนต์คือจุดที่ความสับสนส่วนใหญ่เริ่มต้น ทันเนลแยกส่วนระบุเครือข่ายระยะไกล และทันเนลเต็มรูปแบบคือฟิลด์เดียวกันที่มีคำนำหน้าเริ่มต้น:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

ทั้งสองรูปแบบสมบูรณ์ในตัวเอง และเป็นทางเลือกไม่ใช่ขั้นตอน รูปแบบแรกส่งเฉพาะสองเครือข่ายนั้นผ่านทันเนล รูปแบบที่สองส่งทุกปลายทาง โดยรายการ ::/0 เพิ่ม IPv6 ให้ค่าเริ่มต้น IPv4 ไม่ว่าคุณจะเลือกแบบใด คำนำหน้าเหล่านั้นคือการตัดสินใจกำหนดเส้นทางทั้งหมดสำหรับพีร์นั้นเมื่อ wg-quick เริ่มติดตั้งเส้นทาง

ฮับต้องการรายการที่แตกต่าง

ฮับระบุที่อยู่ทันเนลของไคลเอนต์แต่ละรายเป็นคำนำหน้าโฮสต์ พร้อมกับเครือข่ายใดที่อยู่หลังไคลเอนต์นั้นจริง ๆ การคัดลอกรายการกว้างของไคลเอนต์ไปยังพีร์ฮับทุกตัวบอกฮับว่าพีร์หลายตัวอาจใช้ที่อยู่เดียวกันเป็นแหล่งได้ และนั่นไม่ใช่แผนการกำหนดที่อยู่ ฟิลด์ Endpoint อยู่ในชั้นอื่นโดยสิ้นเชิง: ระบุที่อยู่และพอร์ตภายนอกของพีร์ ไม่เคยระบุปลายทางภายในทันเนล

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

คำนำหน้าโฮสต์พาที่อยู่ทันเนล และคำนำหน้าเครือข่ายพาสิ่งที่อยู่หลังไคลเอนต์ และทั้งสองจำเป็น หากไม่มีคำนำหน้าโฮสต์ ฮับจะส่งทราฟฟิกของไคลเอนต์เองกลับไม่ได้ และหากไม่มีคำนำหน้าเครือข่าย LAN ที่อยู่ข้างหลังจะยังเข้าถึงไม่ได้ พีร์ที่ไม่มีอะไรอยู่ข้างหลังจะได้รับเพียงคำนำหน้าโฮสต์

การข้ามการติดตั้งเส้นทางทิ้งช่องว่างไว้

wg-quick ตัวช่วยที่ยกอินเทอร์เฟซขึ้นจากไฟล์กำหนดค่า ติดตั้งที่อยู่ของอินเทอร์เฟซและเส้นทางเป็นส่วนหนึ่งของงานนั้น การตั้งค่า Table = off บอกตัวช่วยให้ข้ามงานเส้นทาง ซึ่งไม่ได้ติดตั้งตัวแทนและไม่ได้ทำให้เครือข่ายส่วนตัวเข้าถึงได้ เมื่อเส้นทางอัตโนมัติทำงานอยู่แล้ว การระบุคำนำหน้าที่คุณต้องการคือการกำหนดค่าที่ชัดเจนกว่า การปิดการจัดการเส้นทางและปล่อยตัวแทนไว้โดยไม่เขียนไม่ใช่การออกแบบ แต่เป็นการละเลย

เครื่องมือพื้นฐาน wg ทำงานต่างออกไป: มันกำหนดค่าอินเทอร์เฟซและไม่แตะเส้นทางเลย ดังนั้นการติดตั้งที่สร้างบนมันโดยตรงจึงต้องมีคำสั่งเส้นทางของตัวเอง คำแนะนำที่เขียนสำหรับเครื่องมือหนึ่งอาจดูผิดเมื่อทำตามกับอีกเครื่องมือหนึ่ง ping ที่สำเร็จก็เป็นหลักฐานอ่อน เพราะทดสอบเส้นทางเดียวไม่ใช่ทุกเส้นทางของแอปพลิเคชันที่คุณต้องการ

DNS และ IPv6 ถูกตัดสินแยกกัน

ตรวจสอบที่อยู่เซิร์ฟเวอร์ DNS ที่ทันเนลประกาศ และยืนยันว่ามีเส้นทางไปยังที่อยู่นั้นผ่านคำนำหน้าที่คุณเลือก การตั้งค่าตัวแปลงชื่อไม่ได้ทำให้ตัวแปลงชื่อเข้าถึงได้ และการทำให้ทันเนลแคบลงอาจลบเส้นทางที่เคยไปถึงที่นั่นอย่างเงียบ ๆ ตรวจสอบ IPv6 แยกด้วย เพราะการแบ่ง IPv4 ที่ถูกต้องไม่ได้บอกอะไรเกี่ยวกับเส้นทางเริ่มต้น IPv6 ที่ยังชี้ไปที่ลิงก์กายภาพ การตัดสินใจสามอย่างแยกกันอาจเปลี่ยนพร้อมกันเมื่อคุณแก้ไขบล็อกพีร์หนึ่งบล็อก

จากนั้นเปิดทรัพยากรส่วนตัวหนึ่งรายการและเว็บไซต์ปกติหนึ่งแห่งจากการกำหนดค่าเริ่มต้นที่รู้จัก หากทรัพยากรตอบสนองและการท่องเว็บยังออกผ่านการเชื่อมต่อภายใน การแบ่งส่วนก็ทำตามที่คุณขอ หากการท่องเว็บพังในขณะเดียวกัน ทันเนลได้ใช้เส้นทางเริ่มต้น และรายการคำนำหน้าคือจุดที่ควรดู