WireGuard bölünmüş tünel: varsayılan yol olmadan yapılandırma

Bölünmüş tünel, dışarıda bıraktığınız şeyle tanımlanır ve WireGuard bu kararı tek bir alanda verir. İstemci eşinin AllowedIPs alanı aynı anda hangi hedeflerin tünelden geçeceğini seçer ve hangi iç kaynak adreslerinin kabul edileceğini süzer, wg-quick de aynı listeyi ana bilgisayar yollarına dönüştürür. Liste yanlışsa tünel ya her şeyi yutar ya da hiçbir şey taşımaz.

Önce önek listesini belirleyin

Bir yapılandırma dosyasına dokunmadan önce tüneli kullanması gereken hedefleri yazın. Ofis alt ağları, bir veritabanı aralığı, bir yönetim ağı: her biri bir nedeni olan önektir. Listede olmayan her şey fiziksel yolda kalır ve tasarımın bütün amacı budur.

Liste 0.0.0.0/0 veya ::/0 içeriyorsa tam bir tünel kurmuşsunuzdur ve bunu söylemelisiniz, çünkü hata modları ve DNS beklentileri farklıdır.

Listeyi, bir gözden geçirenin daha sonra yönlendirme tablosuyla karşılaştırabileceği kadar kısa tutun.

İstemci yapılandırması: eş, AllowedIPs, DNS

İstemcinin arabirim bloğu kendi tünel adresini ve özel anahtarını içerir. Eş bloğu sunucunun ortak anahtarını, uç noktayı ve ilk adımın öneklerini içerir:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

İstemcideki AllowedIPs uzak hedeflerin kümesidir, istemcinin kendi adresi değildir. DNS satırı yalnızca wg-quick'in çözümleyici entegrasyonu aracılığıyla etkilidir, bu nedenle resolvconf veya systemd-resolved desteği olmayan bir ana bilgisayar onu yok sayar. PersistentKeepalive bir NAT eşlemesini canlı tutar ve doğrudan bir yolda gereksizdir.

Her öneki hizmet ettiği hizmetle yorumlayın, aksi halde bir sonraki düzenleme tahmin olur.

Sunucu yapılandırması: karşıt bakış açısı

Sunucuda eş girdisi istemciyi temsil eder, bu nedenle AllowedIPs'i istemcinin tünel adresidir, genellikle /32. Ofis alt ağı değildir. İstemcinin listesini sunucu girdisine kopyalamak bölünmüş tünelin en yaygın hatasıdır ve ya erişimi genişletir ya da el sıkışma sırasında iç kaynak denetimini bozar.

Sunucunun kendi arabirim adresi ve ofise doğru ihtiyaç duyduğu yollar herhangi bir eş girdisinden ayrıdır.

İki dosya, iki bakış açısı, aralarında bölünmüş tek bir önek kümesi.

Kaldırın ve yolları okuyun

Arabirimi desteklenen yöneticiyle başlatın ve ardından ne kurduğuna bakın, ne amaçladığınıza değil. wg-quick yolları AllowedIPs'ten türetir; profil Table = off ayarlıyorsa hiçbir şey kurulmaz ve yönlendirme size kalır. Her önek için yolu okuyun ve WireGuard arabirimine işaret ettiğini doğrulayın. Boş bir yol listesi genellikle uygulanan profilin düzenlediğiniz profil olmadığı anlamına gelir.

El sıkışma sayaçlarını da kontrol edin, çünkü el sıkışması olmayan bir eşin yönlendirme değil anahtar, uç nokta veya erişilebilirlik sorunu vardır.

Kullandığınız tam komutu yazın, çünkü bir sonraki kişi onu baskı altında çalıştıracak.

Her iki tarafı doğrulayın, ardından geri almayı kaydedin

Özel bir adresi, iç adını ve doğrudan kalması gereken bir hedefi test edin. Özel adres çalışıyor ve doğrudan hedef artık tünelden çıkıyorsa önek listesi çok geniştir. Adres çalışırken ad başarısız olursa DNS satırı yürürlüğe girmemiştir. Geri alma tek bir komuttur ve aynı nota aittir.

Yeniden bağlandıktan sonra yolların hâlâ orada olduğunu doğrulayın, çünkü profili yeniden uygulayan bir yönetici elle yazılan yolları değiştirebilir.

Tek bir yapılandırma sahibi tutun, çünkü aynı arabirimi üreten iki yönetici eninde sonunda anlaşmazlığa düşecektir. wg-quick kılavuzu sağladığı yol ve DNS davranışını belgeler.