AllowedIPs WireGuard: выбор peer и допустимый источник пакета — две стороны настройки
AllowedIPs связывает адресные префиксы с конкретным peer. При отправке это определяет, к какому участнику направляется соответствующий внутренний трафик, а при получении — какие исходные адреса от него допускаются. Поэтому параметр нельзя трактовать только как обычный список удалённых сетей.
Руководство wg описывает IPv4 и IPv6 префиксы с CIDR-масками. Правило для всех IPv4-адресов не охватывает автоматически IPv6. В схеме фиксируют адреса самого участника и сети за ним, не копируя широкие диапазоны только ради успешного первого пакета. Слишком широкая привязка меняет доверие к адресам источника.
AllowedIPs не описывает права на TCP-порты, пользователя приложения или конкретную команду оборудования. Такая политика задаётся другими механизмами на согласованных узлах. Также остаётся необходимой внешняя маршрутизация до туннельного интерфейса; выбор peer внутри WireGuard и выбор системного маршрута являются отдельными шагами.
В приёмке проверяют разрешённый адрес источника, заведомо посторонний источник и нужные направления трафика. Для нескольких peer сверяют, кому принадлежит каждый префикс. Успешный обмен ключами не подтверждает правильное распределение подсетей и не является разрешением на любой прикладной доступ к удалённому шкафу или серверу.
Основание — Official wireguard-tools1.0.20260223 release manual/code sources; Linux wg-quick scope, разделы wg.8 AllowedIPs configuration field. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Использованы руководства и указанные фрагменты Linux-реализации из wireguard-tools 1.0.20260223. Совместимость ядра и установленной сборки не проверялась; ключи, туннели, маршруты, DNS и firewall не изменялись.
