’n WireGuard-tonnel by die huis het ’n terugroete vanaf die LAN nodig

Toegang tot die huis is een private diens, nie ’n tweede internetuitgang nie. WireGuard termineer op ’n Linux-boks agter die router, die router behou sy bestaande taak, en die skootrekenaar stuur net die huisvoorvoegsel deur die tonnel. Watter toestel aanstuur en watter een termineer, is die besluit waaruit elke latere reël volg. Kry daardie verdeling verkeerd en jy sal NAT ontfout wat jy nooit bedoel het om by te voeg nie.

Besluit wie aanstuur en wie termineer

Die router besit die publieke ingang: dit aanvaar die UDP-pakket en gee dit aan die Linux-gasheer oor. Daardie gasheer besit die WireGuard-luisteraar en die aanstuur-besluit na die LAN. In die praktyk stuur die kartering UDP 51820 na 192.168.50.10, en die toepassing se eie poort bly gesluit. Om die rolle apart te hou, hou die firewall kort.

Skryf die adresplan voordat jy die koppelvlak skep. Router 192.168.50.1, poortwag 192.168.50.10, diens 192.168.50.20, tonnel 10.77.0.0/24 met poortwag .1 en skootrekenaar .2. Die tonnelreeks mag nie ’n netwerk oorvleuel wat die skootrekenaar reeds bereik nie, anders word bestemmings dubbelsinnig. Karriergraad-NAT of ’n opstroom-router kan inkomende toegang blokkeer, en geen plaaslike poortaanstuur maak dit reg nie.

Wissel sleutels uit, bepaal dan die grootte van die AllowedIPs

Skep ’n aparte sleutelpaar per eindpunt en beweeg net publieke sleutels deur ’n geverifieerde kanaal. Die poortwag se peer-inskrywing laat net die skootrekenaar se tonnelbron toe, want die huis-LAN sit agter die poortwag en nie agter die skootrekenaar nie. Om die LAN in daardie inskrywing te plaas, beskryf ’n topologie wat jy nie gebou het nie.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs is die huisvoorvoegsel plus die poortwag se tonneladres, nooit 0.0.0.0/0 nie, so gewone blaai behou sy plaaslike pad. Hou een konfigurasie-eienaar, en koppel nooit dieselfde koppelvlak aan ’n tweede netwerkbestuurder nie.

Die terugroete is die deel wat mense oorslaan

Hierdie ontwerp behou die skootrekenaar se 10.77.0.2-bron in plaas daarvan om dit as die poortwag te masjineer, so toestelle by die huis moet weet hoe om dit te antwoord. Voeg ’n statiese roete op die huisrouter by vir 10.77.0.0/24 met 192.168.50.10 as volgende sprong, en lees wat wg-quick van AllowedIPs aflei in sy verwysing. Sonder daardie roete bestaan ’n voltooide handdruk saam met toepassing-antwoorde wat nooit aankom nie.

As die router daardie roete nie kan dra nie, kies ’n gedokumenteerde terugontwerp. Om in die stilte NAT by te voeg, verander eerder die bronmodel wat jy pas neergeskryf het.

Laat een diens toe, nie die subnet nie

Aktiveer IPv4-aansturing op die poortwag en hou drie firewall-take apart: laat die WireGuard-luisteraar toe, stuur die skootrekenaar se bron net na 192.168.50.20, en laat die res van die huisnetwerk vir daardie peer gesluit. Integreer die reëls met die firewallbestuurder wat reeds in gebruik is in plaas daarvan om dit te spoel. ’n Roete vir die hele huisvoorvoegsel is nie toestemming om elke toestel daarbinne te gebruik nie.

Die toepassing se eie verifikasie en gasheer-firewall is ’n aparte hek. Noem die diens wat die reëlversameling toelaat, sodat die volgende keurder dit teen die beoogde taak kan nagaan.

Toets van buite, tree dan skoon uit

Bring die profiele op deur hul eienaar, bevestig die handdruk, en oefen dan die beoogde toepassing vanuit ’n goedgekeurde buitenetwerk en kontroleer die antwoord. Probeer ’n huisdiens wat geweier moet bly, want ’n toegeeflike reël is onsigbaar totdat iets dit gebruik. Vir HTTPS, gebruik die naam op die sertifikaat en laat die validering loop; om die rou adres te tik en deur die waarskuwing te klik, bewys niks oor die pad nie. PersistentKeepalive is opsioneel: dit help ’n NAT-gebonde peer ná ledige tyd, maar dit is nie ’n ontbrekende roete of ’n regstelling van toestemming nie.

’n Dinamiese publieke adres benodig DNS-opdaterings, en die skootrekenaar moet sy eindpunt her-oplos ná ’n verandering; nuwe DNS-rekords skuif nie ’n gekonfigureerde eindpunt nie. Tree uit die skootrekenaar deur sy peer uit die gestoorde en aktiewe konfigurasie te verwyder; om net die skootrekenaarprofiel te skrap, herroep nie die poortwag se magtiging nie.