Un túnel WireGuard a casa necessita una ruta de tornada des de la LAN

L'accés a casa és un sol servei privat, no una segona sortida a internet. WireGuard acaba en una màquina Linux darrere del router, el router conserva la seva tasca actual i el portàtil només envia el prefix de casa pel túnel. Quin dispositiu reenvia i quin acaba és la decisió de la qual depèn cada regla posterior. Si us equivoqueu en aquest repartiment, acabarà depurant un NAT que no volíeu afegir.

Decidiu qui reenvia i qui acaba

El router posseeix l'entrada pública: accepta el paquet UDP i el passa a l'amfitrió Linux. Aquest amfitrió posseeix l'oïdor de WireGuard i la decisió de reenviament cap a la LAN. A la pràctica, la regla de reenviament envia UDP 51820 a 192.168.50.10, i el port propi de l'aplicació queda tancat. Mantenir els papers separats manté el tallafoc curt.

Escriviu el pla d'adreces abans de crear la interfície. Router 192.168.50.1, passarel·la 192.168.50.10, servei 192.168.50.20, túnel 10.77.0.0/24 amb passarel·la .1 i portàtil .2. El rang del túnel no s'ha de solapar amb cap xarxa a què el portàtil ja arribi, o les destinacions es tornen ambigües. El NAT de nivell d'operadora o un router superior poden bloquejar l'accés entrant, i cap reenviament de port local ho arregla.

Intercanvieu claus i després dimensioneu les AllowedIPs

Creeu un parell de claus separat per a cada extrem i moveu només les claus públiques per un canal verificat. L'entrada de peer de la passarel·la permet només la font del túnel del portàtil, perquè la LAN de casa és darrere la passarel·la i no darrere el portàtil. Posar la LAN en aquesta entrada descriu una topologia que no heu construït.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs és el prefix de casa més l'adreça del túnel de la passarel·la, mai 0.0.0.0/0, així la navegació habitual conserva el seu camí local. Tingueu un sol propietari de la configuració i no adjunteu mai la mateixa interfície a un segon gestor de xarxa.

La ruta de tornada és la part que la gent s'oblida

Aquest disseny conserva la font 10.77.0.2 del portàtil en lloc d'emmascarar-la com la passarel·la, així que els dispositius de casa han de saber com respondre-hi. Afegiu una ruta estàtica al router de casa per a 10.77.0.0/24 amb 192.168.50.10 com a salt següent, i llegiu què deriva wg-quick de les AllowedIPs a la seva referència. Sense aquesta ruta, una connexió completada conviu amb respostes de l'aplicació que no arriben mai.

Si el router no pot portar aquesta ruta, trieu un disseny de tornada documentat. Afegir NAT en silenci canvia el model de font que acabeu d'escriure.

Permeteu un sol servei, no la subxarxa

Activeu el reenviament IPv4 a la passarel·la i manteniu tres deures del tallafoc separats: admetre l'oïdor de WireGuard, reenviar la font del portàtil només a 192.168.50.20 i deixar la resta de la xarxa de casa tancada a aquest peer. Integreu les regles amb el gestor de tallafoc que ja feu servir en lloc de buidar-lo. Una ruta per a tot el prefix de casa no és permís per usar cada dispositiu que hi ha a dins.

L'autenticació de l'aplicació i el tallafoc de l'amfitrió són una porta separada. Anomeneu el servei que el conjunt de regles permet, perquè el proper revisor el pugui contrastar amb la tasca prevista.

Proveu des de fora i després retireu-ho net

Aixequueu els perfils a través del seu propietari, confirmeu la connexió, i després proveu l'aplicació prevista des d'una xarxa externa aprovada i comproveu la resposta. Intenteu un servei de casa que ha de quedar denegat, perquè una regla permissiva és invisible fins que algú l'usa. Per a HTTPS, feu servir el nom del certificat i deixeu que la validació s'executi; escriure l'adreça crua i passar per l'avís no demostra res sobre el camí. PersistentKeepalive és opcional: ajuda un peer lligat a NAT després d'un temps d'inactivitat, però no és una ruta que falta ni una correcció de permisos.

Una adreça pública dinàmica necessita actualitzacions de DNS, i el portàtil ha de tornar a resoldre el seu extrem després d'un canvi; els registres DNS nous no mouen un extrem configurat. Retireu el portàtil traient el seu peer de la configuració desada i activa; esborrar només el perfil del portàtil no revoca l'autorització de la passarel·la.