Đường hầm chia tách WireGuard: cấu hình không có tuyến mặc định

Đường hầm chia tách được định nghĩa bởi những gì bạn bỏ ra ngoài, và WireGuard đưa ra quyết định đó trong một trường duy nhất. AllowedIPs ở phía máy khách đồng thời chọn những đích nào đi qua đường hầm và lọc những địa chỉ nguồn nội bộ nào được chấp nhận, còn wg-quick biến cùng danh sách đó thành tuyến máy chủ. Nếu danh sách sai, đường hầm hoặc nuốt tất cả hoặc không mang gì.

Trước hết hãy quyết định danh sách tiền tố

Viết ra những đích phải dùng đường hầm trước khi chạm vào tệp cấu hình. Mạng con văn phòng, một dải cơ sở dữ liệu, một mạng quản trị: mỗi cái là một tiền tố có lý do. Mọi thứ không có trong danh sách vẫn ở đường vật lý, và đó là toàn bộ mục đích của thiết kế.

Nếu danh sách chứa 0.0.0.0/0 hoặc ::/0, bạn đã dựng một đường hầm đầy đủ và nên nói rõ, vì các chế độ lỗi và kỳ vọng DNS khác nhau.

Giữ danh sách đủ ngắn để người đánh giá có thể đối chiếu với bảng định tuyến sau này.

Cấu hình máy khách: peer, AllowedIPs, DNS

Khối giao diện của máy khách chứa địa chỉ đường hầm và khóa riêng của chính nó. Khối peer chứa khóa công khai của máy chủ, điểm cuối và các tiền tố từ bước một:

[Interface]
Address = 10.9.0.2/32
PrivateKey = <client-private-key>
DNS = 10.20.0.53

[Peer]
PublicKey = <server-public-key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16, 10.30.0.0/24
PersistentKeepalive = 25

AllowedIPs ở máy khách là tập hợp các đích từ xa, không phải địa chỉ của chính máy khách. Dòng DNS chỉ có hiệu lực qua tích hợp bộ phân giải của wg-quick, nên một máy chủ không có hỗ trợ resolvconf hoặc systemd-resolved sẽ bỏ qua nó. PersistentKeepalive giữ một ánh xạ NAT sống và không cần thiết trên đường trực tiếp.

Chú thích mỗi tiền tố với dịch vụ mà nó phục vụ, nếu không lần sửa tiếp theo sẽ là phỏng đoán.

Cấu hình máy chủ: góc nhìn ngược lại

Trên máy chủ, mục peer đại diện cho máy khách, nên AllowedIPs của nó là địa chỉ đường hầm của máy khách, thường là /32. Đó không phải mạng con văn phòng. Sao chép danh sách của máy khách vào mục máy chủ là lỗi phổ biến nhất của đường hầm chia tách, và nó hoặc mở rộng quyền truy cập hoặc phá vỡ kiểm tra nguồn nội bộ khi bắt tay.

Địa chỉ giao diện của chính máy chủ và các tuyến nó cần về phía văn phòng tách biệt với mọi mục peer.

Hai tệp, hai góc nhìn, một tập tiền tố được chia giữa chúng.

Bật nó lên và đọc các tuyến

Khởi động giao diện bằng trình quản lý được hỗ trợ, rồi xem nó đã cài gì, không phải bạn định làm gì. wg-quick suy ra tuyến từ AllowedIPs; nếu hồ sơ đặt Table = off, không có gì được cài và việc định tuyến thuộc về bạn. Đọc tuyến cho từng tiền tố và xác nhận nó trỏ tới giao diện WireGuard. Danh sách tuyến rỗng thường có nghĩa là hồ sơ được áp dụng không phải hồ sơ bạn đã sửa.

Cũng kiểm tra bộ đếm bắt tay, vì một peer không có bắt tay có vấn đề về khóa, điểm cuối hoặc khả năng tiếp cận, không phải về định tuyến.

Viết ra lệnh chính xác bạn đã dùng, vì người tiếp theo sẽ chạy nó dưới áp lực.

Xác minh cả hai phía, rồi ghi lại việc hoàn tác

Thử một địa chỉ riêng, tên nội bộ của nó và một đích phải giữ trực tiếp. Nếu địa chỉ riêng hoạt động và đích trực tiếp giờ đi ra qua đường hầm, danh sách tiền tố quá rộng. Nếu tên thất bại trong khi địa chỉ hoạt động, dòng DNS chưa có hiệu lực. Hoàn tác là một lệnh, và nó thuộc cùng một ghi chú.

Sau khi kết nối lại, xác nhận các tuyến vẫn còn, vì trình quản lý áp dụng lại hồ sơ có thể thay thế tuyến thủ công.

Giữ một chủ sở hữu cấu hình, vì hai trình quản lý tạo ra cùng một giao diện cuối cùng sẽ bất đồng. Hướng dẫn wg-quick ghi lại hành vi tuyến và DNS mà nó cung cấp.