Ev WireGuard tunelinin LAN-dan geri marşruta ehtiyacı var

Evə giriş ikinci internet çıxışı deyil, bir şəxsi xidmətdir. WireGuard routerin arxasındakı Linux qutusunda sonlanır, router mövcud işini yerinə yetirməyə davam edir, noutbuk isə tuneldən yalnız ev prefiksini göndərir. Hansı cihazın yönləndirdiyi və hansının sonlandırdığı bütün sonrakı qaydaların çıxış nöqtəsidir. Bu bölgünü səhv etsəniz, əlavə etmək istəmədiyiniz NAT-ı sazlayacaqsınız.

Kimin yönləndirdiyini və kimin sonlandırdığını müəyyən edin

Router açıq girişə sahibdir: UDP paketini qəbul edir və Linux hostuna ötürür. Bu host WireGuard dinləyicisinə və LAN-a yönləndirmə qərarına sahibdir. Təcrübədə xəritələmə UDP 51820-ni 192.168.50.10 ünvanına göndərir, tətbiqin öz portu isə bağlı qalır. Rolları ayırmaq firewall-u qısa saxlayır.

İnterfeysi yaratmazdan əvvəl ünvan planını yazın. Router 192.168.50.1, şlüz 192.168.50.10, xidmət 192.168.50.20, tunel 10.77.0.0/24, şlüz .1 və noutbuk .2. Tunel diapazonu noutbukun artıq çatdığı şəbəkə ilə üst-üstə düşməməlidir, əks halda təyinatlar qeyri-müəyyən olur. Operator səviyyəli NAT və ya yuxarı router daxil olan girişi bloklaya bilər və heç bir yerli port yönləndirməsi bunu düzəltmir.

Açarları dəyişin, sonra AllowedIPs-i ölçün

Hər son nöqtə üçün ayrı açar cütü yaradın və yalnız açıq açarları təsdiqlənmiş kanaldan ötürün. Şlüzün peer qeydi yalnız noutbukun tunel mənbəyinə icazə verir, çünki ev LAN-ı noutbukun deyil, şlüzün arxasındadır. LAN-ı həmin qeydə qoymaq qurmadığınız topologiyanı təsvir edir.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs ev prefiksi üstəgəl şlüzün tunel ünvanıdır, heç vaxt 0.0.0.0/0 deyil, beləliklə adi gəzinti yerli yolunu saxlayır. Bir konfiqurasiya sahibi saxlayın və eyni interfeysi heç vaxt ikinci şəbəkə menecerinə qoşmayın.

Qayıdış marşrutu insanların atladığı hissədir

Bu dizayn noutbukun 10.77.0.2 mənbəyini şlüz kimi maskalamaq əvəzinə saxlayır, ona görə ev cihazları ona necə cavab verməyi bilməlidir. Ev routerinə 10.77.0.0/24 üçün 192.168.50.10 növbəti hop olmaqla statik marşrut əlavə edin və wg-quick-in AllowedIPs-dən nə çıxardığını onun istinadında oxuyun. Həmin marşrut olmadan tamamlanmış əl sıxma heç vaxt gəlməyən tətbiq cavabları ilə birgə mövcud olur.

Router bu marşrutu daşıya bilmirsə, sənədləşdirilmiş qayıdış dizaynı seçin. Səssizcə NAT əlavə etmək isə indicə yazdığınız mənbə modelini dəyişir.

Bir xidmətə icazə verin, alt şəbəkəyə yox

Şlüzdə IPv4 yönləndirməsini aktivləşdirin və üç firewall vəzifəsini ayrı saxlayın: WireGuard dinləyicisinə icazə verin, noutbukun mənbəyini yalnız 192.168.50.20 ünvanına yönləndirin və ev şəbəkəsinin qalan hissəsini həmin peer üçün bağlı saxlayın. Qaydaları artıq istifadə olunan firewall meneceri ilə birləşdirin, onu təmizləməyin. Bütün ev prefiksi üçün marşrut onun içindəki hər cihazdan istifadə icazəsi deyil.

Tətbiqin öz autentifikasiyası və host firewall-u ayrı bir qapıdır. Qaydalar dəstinin icazə verdiyi xidməti adlandırın ki, növbəti rəyçi onu nəzərdə tutulan tapşırıqla müqayisə edə bilsin.

Kənardan sınaqdan keçirin, sonra təmiz şəkildə çıxarın

Profilləri sahibi vasitəsilə işə salın, əl sıxmanı təsdiqləyin, sonra nəzərdə tutulan tətbiqi təsdiqlənmiş xarici şəbəkədən yoxlayın və cavabı yoxlayın. Rədd edilməli olan ev xidmətini sınayın, çünki icazəli qayda onu istifadə edən bir şey olana qədər görünməzdir. HTTPS üçün sertifikatdakı adı istifadə edin və yoxlamanın işləməsinə icazə verin; xam ünvanı yazmaq və xəbərdarlığı keçmək yol haqqında heç nə sübut etmir. PersistentKeepalive isteğe bağlıdır: boş vaxtdan sonra NAT-a bağlı peer-ə kömək edir, lakin çatışmayan marşrut və ya icazə düzəlişi deyil.

Dinamik açıq ünvan DNS yeniləmələri tələb edir və noutbuk dəyişiklikdən sonra son nöqtəsini yenidən həll etməlidir; yeni DNS qeydləri konfiqurasiya edilmiş son nöqtəni yerindən tərpətmir. Noutbuku saxlanc və aktiv konfiqurasiyadan onun peer-ini silməklə çıxarın; yalnız noutbuk profilini silmək şlüzün avtorizasiyasını ləğv etmir.