WireGuard bo'lingan tunnel: standart marshrutsiz sozlash

Bo'lingan tunnel tashqarida qoldiradigan narsangiz bilan belgilanadi va WireGuard bu qarorni bitta maydonda qabul qiladi. Mijoz tomonidagi AllowedIPs bir vaqtning o'zida qaysi manzillar tunneldan o'tishini tanlaydi va qaysi ichki manba manzillari qabul qilinishini filtrlaydi, wg-quick esa xuddi shu ro'yxatni xost marshrutlariga aylantiradi. Ro'yxat xato bo'lsa, tunnel hammasini yutadi yoki hech narsa tashimaydi.

Avval prefikslar ro'yxatini aniqlang

Konfiguratsiya fayliga tegishdan oldin tunneldan foydalanishi kerak bo'lgan manzillarni yozib qo'ying. Ofis quyi tarmoqlari, ma'lumotlar bazasi diapazoni, boshqaruv tarmog'i: har biri sababli prefiks. Ro'yxatda bo'lmagan hamma narsa jismoniy yo'lda qoladi va dizaynning butun maqsadi shu.

Agar ro'yxatda 0.0.0.0/0 yoki ::/0 bo'lsa, siz to'liq tunnel qurgansiz va buni aytishingiz kerak, chunki nosozlik rejimlari va DNS kutilmalari boshqacha.

Ro'yxatni keyin ko'rib chiquvchi marshrutlash jadvali bilan solishtira oladigan darajada qisqa tuting.

Mijoz konfiguratsiyasi: peer, AllowedIPs, DNS

Mijozning interfeys blokida o'z tunnel manzili va shaxsiy kaliti bo'ladi. Peer blokida serverning ochiq kaliti, so'nggi nuqta va birinchi qadamning prefikslari bo'ladi:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

Mijozdagi AllowedIPs uzoq manzillar to'plami, mijozning o'z manzili emas. DNS satri faqat wg-quickning rezolver integratsiyasi orqali ishlaydi, shuning uchun resolvconf yoki systemd-resolved qo'llab-quvvatlamaydigan xost uni e'tiborsiz qoldiradi. PersistentKeepalive NAT xaritasini tirik saqlaydi va to'g'ridan-to'g'ri yo'lda kerak emas.

Har bir prefiksga u xizmat qiladigan xizmatni izoh qilib yozing, aks holda keyingi tahrir taxmin bo'ladi.

Server konfiguratsiyasi: qarama-qarshi nuqtai nazar

Serverda peer yozuvi mijozni ifodalaydi, shuning uchun uning AllowedIPs mijozning tunnel manzili, odatda /32. Bu ofis quyi tarmog'i emas. Mijoz ro'yxatini server yozuviga ko'chirish bo'lingan tunnelning eng keng tarqalgan xatosi va u yo kirishni kengaytiradi, yo qo'l siqish paytida ichki manba tekshiruvini buzadi.

Serverning o'z interfeys manzili va unga ofis tomon kerak bo'lgan marshrutlar har qanday peer yozuvidan alohida.

Ikki fayl, ikki nuqtai nazar, ular orasida bo'lingan bitta prefikslar to'plami.

Uni ko'taring va marshrutlarni o'qing

Interfeysni qo'llab-quvvatlanadigan menejer bilan ishga tushiring, so'ng nima qilishni mo'ljallaganingizni emas, u nima o'rnatganini ko'ring. wg-quick marshrutlarni AllowedIPsdan chiqaradi; profil Table = off qo'ysa, hech narsa o'rnatilmaydi va marshrutlash o'z qo'lingizda. Har bir prefiksning marshrutini o'qing va u WireGuard interfeysiga ishora qilishini tasdiqlang. Bo'sh marshrutlar ro'yxati odatda qo'llanilgan profil siz tahrirlagan profil emasligini bildiradi.

Qo'l siqish hisoblagichlarini ham tekshiring, chunki qo'l siqishsiz peerda marshrutlash emas, kalit, so'nggi nuqta yoki yetib borish muammosi bor.

Ishlatgan aniq buyruqni yozib qo'ying, chunki keyingi odam uni bosim ostida ishga tushiradi.

Ikki tomonni tekshiring, so'ng qaytarishni yozib qo'ying

Shaxsiy manzil, uning ichki nomi va to'g'ridan-to'g'ri qolishi kerak bo'lgan manzilni sinab ko'ring. Agar shaxsiy manzil ishlasa va to'g'ridan-to'g'ri manzil endi tunneldan chiqsa, prefikslar ro'yxati juda keng. Agar nom muvaffaqiyatsiz bo'lib, manzil ishlasa, DNS satri kuchga kirmagan. Qaytarish bitta buyruq va u xuddi shu eslatmaga tegishli.

Qayta ulangandan so'ng marshrutlar hali ham borligini tasdiqlang, chunki profilni qayta qo'llaydigan menejer qo'lda yozilgan marshrutlarni almashtirishi mumkin.

Bitta konfiguratsiya egasini saqlang, chunki bir xil interfeysni ishlab chiqaradigan ikki menejer oxir-oqibat kelishmaydi. wg-quick qo'llanmasi u taqdim etadigan marshrut va DNS xatti-harakatini hujjatlashtiradi.