Полный туннель WireGuard: маршрут по умолчанию не описывает всю политику трафика
Фотография конкретного исполнения не приложена.
Требование направлять весь пользовательский обмен через туннель нужно сформулировать для используемых семейств адресов и режимов работы. Префикс для всех IPv4-адресов не охватывает автоматически IPv6. Настройка только одного семейства может оставить другое на обычном сетевом пути.
Wg-quick использует policy routing для обработки default route. Эта схема должна сохранять возможность доставлять внешние зашифрованные пакеты к endpoint и не зациклить их обратно в туннель. Поэтому итог нельзя оценивать только по наличию одной строки default в привычной таблице маршрутов.
Маршрутизация и обязательное ограничение обходного трафика являются разными требованиями. В примерах руководства дополнительные правила фильтрации рассматриваются отдельно и имеют оговорки, включая другие семейства адресов и специальные виды пакетов. Нельзя обещать отсутствие любого обхода только по широкому AllowedIPs или одному примеру firewall.
В приёмке проверяют требуемый IPv4/IPv6-обмен, доступ к endpoint, исключения локальной сети и поведение при остановке интерфейса. Отдельно проверяют DNS-путь и реакцию приложения на потерю туннеля. Результат формулируют в границах испытанной политики: успешный внешний запрос через VPN не доказывает, что все остальные разрешённые пути соответствуют проекту.
Основание — Official wireguard-tools1.0.20260223 release manual/code sources; Linux wg-quick scope, разделы wg.8 AllowedIPs catch-all prefixes; wg-quick.8 Default route policy routing; example filtering caveats. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Использованы руководства и указанные фрагменты Linux-реализации из wireguard-tools 1.0.20260223. Совместимость ядра и установленной сборки не проверялась; ключи, туннели, маршруты, DNS и firewall не изменялись.
Запросы отправляются на наш e-mail из вашей почтовой программы.
