Wireguard - Cum să faci tunel doar pentru o parte din trafic

Este posibil să configurați serverul Wireguard astfel încât numai o listă de ips [A, B, C,...] să fie tunelizată prin Wireguard - în timp ce restul traficului este ignorat și trece prin interfața non-Wireguard?

Spus altfel, încerc să dau acces la un Wireguard VPN unor persoane externe, dar nu vreau ca aceștia să poată folosi VPN-ul pentru a căuta alte ip-uri/site-uri decât cel pe care l-am specificat (în timp ce le las să acceseze orice ar fi doresc pe propria interfață/conexiune non-VPN.

Mulțumiri

Puteți folosi iptables.
A inlocui eth0 cu interfața de rețea care se conectează la internet și 10.6.0.1/24 cu subrețeaua dvs. client.

Introduceți acest lucru undeva în configurația Wireguard de mai jos [INTERFACE]

# Eliminați toate pachetele de ieșire din subrețeaua client
PreUp = iptables -I FORWARD -s 10.6.0.1/24 -o eth0 -j DROP
## Adăugați aici excepțiile dvs

De exemplu:

[Interfață]
PrivateKey =...
Adresa = 10.6.0.1/24
MTU = 1420
ListenPort = 51820

## Înainte ca interfața wg0 să fie activată
# Eliminați toate pachetele de ieșire din subrețeaua client
PreUp = iptables -I FORWARD -s 10.6.0.1/24 -o eth0 -j DROP
# Permiteți clienților să se conecteze la rețeaua locală 192.168.0.1/24
PreUp = iptables -I FORWARD -s 10.6.0.1/24 -d 192.168.0.1/24 -j ACCEPT
# Permite clienților să se conecteze la portul tcp 80 (de obicei http) pe 10.10.0.5
PreUp = iptables -I FORWARD -s 10.6.0.1/24 -d 10.10.0.5 -p tcp --dport 80 -j ACCEPT

## După ce interfața wg0 este oprită
PostDown = iptables -D FORWARD -s 10.6.0.1/24 -o eth0 -j DROP
PostDown = iptables -D FORWARD -s 10.6.0.1/24 -d 192.168.0.1/24 -j ACCEPT
PostDown = iptables -D FORWARD -s 10.6.0.1/24 -d 10.10.0.5 -p tcp --dport 80 -j ACCEPT

[Peer]
...

Pentru o experiență perfectă din partea clientului, trebuie, de asemenea, să configurați IP-uri permise în configurația clientului. În caz contrar, clienții vor încerca să folosească VPN-ul pentru a accesa internetul și acele solicitări vor expira.

Urmând exemplul de mai sus, configurația clientului ar putea arăta astfel:

[Interfață]
PrivateKey =...
Adresa = 10.6.0.2/24
DNS = 10.6.0.1

[Peer]
PublicKey =...
IP-uri permise = 192.168.0.1/24, 10.10.0.5
Punct final =...
PresharedKey =...

Documentație:

• Configurare Wireguard
• iptables