Georg Schölly's questions

即使没有设置隧道 IP 地址，Wireguard 也能正常工作，即设置 AllowedIP、端​​点地址、私钥和公钥就足够了。

在OpnSense的文档中，有以下警告：

注意：隧道地址必须采用 CIDR 表示法，并且必须是您网络的唯一 IP 和子网。[..]不要使用 /32 (IPv4) 或 /128 (IPv6) 隧道地址

pfSense 有一个可能的解释：

pfSense 文档：

注意：路由不会在系统路由表中自动创建。隧道网络本身以外的网络的路由必须使用静态或动态路由单独配置。

在互联网上搜索并没有得到很多解释：

• Reddit：关于子网掩码的困惑
• Reddit：用作 VPN 服务器时有关 /24 和 /32 的帮助
• Reddit：/8、/16 等之间的差异……它们的用途是什么？

该子网似乎没有任何功能，我们做了一些测试：

• 它与本地流量路由无关，即路由到第二个连接的对等点可以在有和没有包含两个对等点的子网的情况下工作。
• 它与“停留在界面上”与通过内核无关。在这两种情况下，我们都可以使用防火墙规则来控制流量。

那么，隧道ip中子网掩码的作用是什么？

给定以下网络图：

                  互联网
                     |
                     |
            +--------+--------+
            | |
   dmz2 ----+ +---- 局域网
            | |
            +--------+--------+
                     |
                     |
                    dmz1

互联网：0.0.0.0/0
dmz1：192.168.10.0/24
dmz2: 192.168.20.0/24
局域网：192.168.30.0/24

我想添加一条规则以允许从所有接口到 Internet 的流量。LAN还应该能够访问DMZ1和DMZ2. 我当然可以使用类似的东西：

dmz1：
接受 dst != 192.168.0.0/16

dmz2：
接受 dst != 192.168.0.0/16

局域网：
永远接受

但是，如果我们稍后在10.0.0.0/8规则中断中添加第三个 dmz。有没有办法在互联网接口上添加一个匹配的健壮规则？

是否可以从 Lighttpd 中提取 TLS 会话密钥，以便我们能够解密 tcpdump 捕获的流量？

或者，我们可以禁用 PFS，但我们不希望这样做。