Naja, es ist da auch nur halbrichtig erklärt. Dass die Pakete zum Wireguard Interface geroutet werden, ist der unwichtige Teil, der wie ich jetzt schon mehrfach geschrieben habe auch nicht zwingend von Wireguard konfiguriert werden muss. Es gibt den "table" parameter, mit dem man das beeinflussen oder ganz abschalten kann. Wenn man andere Vorstellungen hat, welcher Traffic genau durch das VPN geroutet werden soll (z.B. nur bestimmte Services), dann kann und muss man das selbst machen. Der Einfachheit halber erledigt wg-quick das für den Standardfall automatisch, aber das ist nur eine Komfortfunktion.
Erst die interne Entscheidung, in welchen Tunnel ein Paket "innerhalb" des Wireguardinterfaces geroutet wird, kann man nicht selbst machen. Nur dieser Teil der Routingentscheidung hängt wirklich von den AllowedIPs ab, aber das ist die sekundäre Funktion, sonst könnte dieser Parameter naheliegender etwa "RouteIPs" heißen. Tut er aber nicht.
Die primäre Funktion ist das Filtern der ankommenden Pakete nach der Source-IP. Das ist eminent wichtig für die Sicherheit in Wireguard-VPNs. Sobald die Pakete aus dem Wireguard-Interface ins System kommen, kann man ihnen nicht mehr ansehen, von welchem Peer sie kamen. Eine Firewall könnte nichts mehr ausrichten. Sie könnte kein Spoofing verhindern. Deshalb wären auch keine Zugangsberechtigungen für einzelne Peers wirkungsvoll durchsetzbar. Nur weil der AllowedIPs Parameter dafür sorgt, dass ankommende Pakete in Wireguard gefiltert werden, kann sich eine Firewall oder ein Server darauf verlassen, dass die Peers anhand ihrer Source-IPs verifiziert unterscheidbar sind. Deswegen ist es falsch zu schreiben, dass man nicht angibt, "welche Daten von einem Partner empfangen werden dürfen". Von welchen Adressen Pakete kommen dürfen, ist in Wireguard tatsächlich zwingend anzugeben, und es ist das einzige, was überprüft wird.
