อุโมงค์แยกของ WireGuard: ตั้งค่าโดยไม่มีเส้นทางเริ่มต้น

อุโมงค์แยกถูกนิยามด้วยสิ่งที่คุณละไว้ และ WireGuard ตัดสินใจนั้นในฟิลด์เดียว AllowedIPs ของฝั่งไคลเอนต์เลือกพร้อมกันว่าปลายทางใดผ่านอุโมงค์และกรองว่าที่อยู่ต้นทางภายในใดได้รับการยอมรับ และ wg-quick แปลงรายการเดียวกันเป็นเส้นทางของโฮสต์ หากรายการผิด อุโมงค์จะกลืนทุกอย่างหรือไม่บรรทุกอะไรเลย

กำหนดรายการคำนำหน้าก่อน

เขียนปลายทางที่ต้องใช้อุโมงค์ก่อนแตะไฟล์กำหนดค่า ซับเน็ตสำนักงาน ช่วงฐานข้อมูล เครือข่ายจัดการ: แต่ละรายการเป็นคำนำหน้าที่มีเหตุผล ทุกอย่างที่ไม่อยู่ในรายการยังคงอยู่บนเส้นทางกายภาพ และนั่นคือจุดประสงค์ทั้งหมดของการออกแบบ

หากรายการมี 0.0.0.0/0 หรือ ::/0 คุณได้สร้างอุโมงค์เต็มรูปแบบและควรบอกเช่นนั้น เพราะโหมดความล้มเหลวและความคาดหวัง DNS แตกต่างกัน

เก็บรายการให้สั้นพอที่ผู้ตรวจจะเทียบกับตารางเส้นทางได้ในภายหลัง

การกำหนดค่าไคลเอนต์: เพื่อนร่วม, AllowedIPs, DNS

บล็อกอินเทอร์เฟซของไคลเอนต์มีที่อยู่อุโมงค์และคีย์ส่วนตัวของตัวเอง บล็อกเพื่อนร่วมมีคีย์สาธารณะของเซิร์ฟเวอร์ จุดปลายทาง และคำนำหน้าจากขั้นตอนแรก:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs ฝั่งไคลเอนต์คือชุดของปลายทางระยะไกล ไม่ใช่ที่อยู่ของไคลเอนต์เอง บรรทัด DNS มีผลผ่านการผสานตัวแก้ไขของ wg-quick เท่านั้น โฮสต์ที่ไม่มีการสนับสนุน resolvconf หรือ systemd-resolved จะเพิกเฉย PersistentKeepalive รักษาการแมป NAT ให้มีชีวิตและไม่จำเป็นบนเส้นทางตรง

แสดงความคิดเห็นในแต่ละคำนำหน้าด้วยบริการที่มันให้บริการ มิฉะนั้นการแก้ไขครั้งถัดไปจะเป็นการเดา

การกำหนดค่าเซิร์ฟเวอร์: มุมมองตรงกันข้าม

บนเซิร์ฟเวอร์ รายการเพื่อนร่วมเป็นตัวแทนของไคลเอนต์ ดังนั้น AllowedIPs ของมันคือที่อยู่อุโมงค์ของไคลเอนต์ ปกติเป็น /32 ไม่ใช่ซับเน็ตสำนักงาน การคัดลอกรายการของไคลเอนต์ไปยังรายการเซิร์ฟเวอร์เป็นข้อผิดพลาดที่พบบ่อยที่สุดของอุโมงค์แยก และมันขยายการเข้าถึงหรือทำให้การตรวจสอบต้นทางภายในพังตอนจับมือ

ที่อยู่อินเทอร์เฟซของเซิร์ฟเวอร์เองและเส้นทางที่ต้องใช้ไปยังสำนักงานแยกจากรายการเพื่อนร่วมใด ๆ

สองไฟล์ สองมุมมอง ชุดคำนำหน้าหนึ่งชุดที่แบ่งกันระหว่างสองฝั่ง

เปิดมันขึ้นมาและอ่านเส้นทาง

เริ่มอินเทอร์เฟซด้วยตัวจัดการที่รองรับ แล้วดูว่ามันติดตั้งอะไร ไม่ใช่สิ่งที่คุณตั้งใจ wg-quick ได้เส้นทางจาก AllowedIPs; หากโปรไฟล์ตั้ง Table = off จะไม่มีอะไรถูกติดตั้งและการกำหนดเส้นทางเป็นของคุณ อ่านเส้นทางของแต่ละคำนำหน้าและยืนยันว่าชี้ไปที่อินเทอร์เฟซ WireGuard รายการเส้นทางว่างมักหมายความว่าโปรไฟล์ที่ใช้ไม่ใช่โปรไฟล์ที่คุณแก้ไข

ตรวจสอบตัวนับการจับมือด้วย เพราะเพื่อนร่วมที่ไม่มีการจับมือมีปัญหาคีย์ จุดปลายทาง หรือการเข้าถึง ไม่ใช่ปัญหาเส้นทาง

เขียนคำสั่งที่คุณใช้ให้ตรง เพราะคนถัดไปจะรันมันภายใต้แรงกดดัน

ตรวจสอบทั้งสองฝั่ง แล้วบันทึกการย้อนกลับ

ทดสอบที่อยู่ส่วนตัว ชื่อภายในของมัน และปลายทางที่ต้องคงอยู่โดยตรง หากที่อยู่ส่วนตัวทำงานและปลายทางโดยตรงออกผ่านอุโมงค์แล้ว รายการคำนำหน้ากว้างเกินไป หากชื่อล้มเหลวในขณะที่ที่อยู่ทำงาน บรรทัด DNS ไม่มีผล บันทึกการย้อนกลับเป็นคำสั่งเดียว และมันอยู่ในบันทึกเดียวกัน

หลังเชื่อมต่อใหม่ ยืนยันว่าเส้นทางยังอยู่ เพราะตัวจัดการที่ใช้โปรไฟล์ซ้ำอาจแทนที่เส้นทางที่ทำด้วยมือ

เก็บเจ้าของการกำหนดค่าเพียงคนเดียว เพราะตัวจัดการสองตัวที่สร้างอินเทอร์เฟซเดียวกันจะขัดแย้งกันในที่สุด คู่มือ wg-quick บันทึกพฤติกรรมเส้นทางและ DNS ที่มันให้