Split tunnel ng WireGuard: i-configure nang walang default na ruta

Ang split tunnel ay tinutukoy ng kung ano ang iniiwan mo, at ginagawa ng WireGuard ang desisyong iyon sa isang field. Ang AllowedIPs sa peer ng client ay pumipili nang sabay kung aling mga destinasyon ang dadaan sa tunnel at nagsasala kung aling mga panloob na source address ang tatanggapin, at ginagawa ng wg-quick ang parehong listahan na host route. Kung mali ang listahan, nilalamon ng tunnel ang lahat o wala itong dinadala.

Unahin ang pagpapasya sa listahan ng prefix

Isulat ang mga destinasyon na dapat gumamit ng tunnel bago hawakan ang configuration file. Mga subnet ng opisina, isang saklaw ng database, isang management network: bawat isa ay prefix na may dahilan. Lahat ng wala sa listahan ay nananatili sa pisikal na landas, at iyon ang buong layunin ng disenyo.

Kung ang listahan ay naglalaman ng 0.0.0.0/0 o ::/0, gumawa ka ng buong tunnel at dapat mong sabihin iyon, dahil magkaiba ang mga failure mode at inaasahan sa DNS.

Panatilihing sapat na maikli ang listahan upang mapaghambing ito ng tagasuri sa routing table mamaya.

Configuration ng client: peer, AllowedIPs, DNS

Ang interface block ng client ay naglalaman ng sarili nitong tunnel address at private key. Ang peer block ay naglalaman ng public key ng server, endpoint, at mga prefix mula sa unang hakbang:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

Ang AllowedIPs sa client ay ang set ng malalayong destinasyon, hindi ang sariling address ng client. Ang DNS line ay may bisa lamang sa pamamagitan ng resolver integration ng wg-quick, kaya papansinin ito ng host na walang suporta sa resolvconf o systemd-resolved. Ang PersistentKeepalive ay nagpapanatili ng NAT mapping na buhay at hindi kailangan sa direktang landas.

Magkomento sa bawat prefix kasama ang serbisyong pinaglilingkuran nito, kung hindi ay hulaan ang susunod na pag-edit.

Configuration ng server: ang kabaligtaran na pananaw

Sa server, ang peer entry ay kumakatawan sa client, kaya ang AllowedIPs nito ay ang tunnel address ng client, karaniwang /32. Hindi ito ang subnet ng opisina. Ang pagkopya ng listahan ng client sa entry ng server ang pinakakaraniwang pagkakamali sa split tunnel, at pinalalawak nito ang access o sinisira ang panloob na source check sa handshake.

Ang sariling interface address ng server at ang mga rutang kailangan nito patungo sa opisina ay hiwalay sa anumang peer entry.

Dalawang file, dalawang pananaw, isang set ng prefix na hinati sa pagitan nila.

Itaas ito at basahin ang mga ruta

Simulan ang interface gamit ang sinusuportahang manager, pagkatapos tingnan kung ano ang inilagay nito, hindi kung ano ang intensyon mo. Ang wg-quick ay kumukuha ng ruta mula sa AllowedIPs; kung ang profile ay nagtatakda ng Table = off, wala ang naka-install at ang routing ay sa iyo. Basahin ang ruta ng bawat prefix at kumpirmahing tumuturo ito sa interface ng WireGuard. Ang walang laman na listahan ng ruta ay karaniwang nangangahulugang ang inilapat na profile ay hindi ang na-edit mo.

Tingnan din ang mga handshake counter, dahil ang peer na walang handshake ay may problema sa key, endpoint, o maabot, hindi sa routing.

Isulat ang eksaktong command na ginamit mo, dahil ito ay patatakbuhin ng susunod na tao sa ilalim ng pressure.

I-verify ang dalawang panig, pagkatapos itala ang rollback

Subukan ang isang private address, ang panloob na pangalan nito, at isang destinasyon na dapat manatiling direkta. Kung gumagana ang private address at ang direktang destinasyon ay lumalabas na sa tunnel, masyadong malawak ang listahan ng prefix. Kung nabigo ang pangalan habang gumagana ang address, hindi nagkabisa ang DNS line. Ang rollback ay isang command, at kabilang ito sa parehong tala.

Pagkatapos ng muling pagkonekta, kumpirmahing naroon pa rin ang mga ruta, dahil ang manager na muling naglalapat ng profile ay maaaring palitan ang mga manual na ruta.

Panatilihin ang isang may-ari ng configuration, dahil ang dalawang manager na gumagawa ng parehong interface ay magkakasalungat sa huli. Ang manual ng wg-quick ay nagdodokumento ng pag-uugali ng ruta at DNS na ibinibigay nito.