Domácí tunel WireGuard potřebuje zpáteční trasu z LAN

Rukování je ta snadná část. Rozhodněte o rozdělení práce mezi router a bránu, zachovejte zdroj notebooku beze změny a dejte LAN zpáteční trasu.

Přístup domů je jedna soukromá služba, ne druhý internetový výstup. WireGuard končí na Linuxovém stroji za routerem, router si drží svou stávající úlohu a notebook posílá tunelem jen domácí prefix. Které zařízení předává a které ukončuje, je rozhodnutí, ze kterého vychází každé další pravidlo. Popleťte toto rozdělení a budete ladit NAT, který jste přidávat nechtěli.

Rozhodněte, kdo předává a kdo ukončuje

Veřejný vstup vlastní router: přijme UDP paket a předá ho Linuxovému hostu. Ten host vlastní posluchač WireGuardu a rozhodnutí o předávání do LAN. V praxi mapování posílá UDP 51820 na 192.168.50.10 a vlastní port aplikace zůstává zavřený. Oddělení rolí drží firewall krátký.

Napište plán adres ještě před vytvořením rozhraní. Router 192.168.50.1, brána 192.168.50.10, služba 192.168.50.20, tunel 10.77.0.0/24 s bránou .1 a notebookem .2. Rozsah tunelu se nesmí překrývat se sítí, do které se notebook už dostane, jinak se cíle stanou nejednoznačnými. Carrier-grade NAT nebo router výše může blokovat příchozí přístup a žádné místní přesměrování portu to nespraví.

Vyměňte klíče a pak určete velikost AllowedIPs

Vytvořte samostatný pár klíčů pro každý koncový bod a přenášejte ověřeným kanálem jen veřejné klíče. Záznam peeru na bráně povoluje pouze zdroj tunelu notebooku, protože domácí LAN je za bránou, ne za notebookem. Když do toho záznamu dáte LAN, popíšete topologii, kterou jste nepostavili.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs je domácí prefix plus adresa tunelu brány, nikdy 0.0.0.0/0, takže běžné prohlížení si drží svou místní cestu. Mějte jednoho vlastníka konfigurace a nikdy nepřipojujte stejné rozhraní k druhému správci sítě.

Zpáteční trasa je ta část, kterou lidé vynechají

Tento návrh zachovává zdroj 10.77.0.2 notebooku místo maskování za bránu, takže domácí zařízení musí vědět, jak odpovědět. Přidejte na domácím routeru statickou trasu pro 10.77.0.0/24 s 192.168.50.10 jako dalším skokem a přečtěte si, co wg-quick odvozuje z AllowedIPs ve své referenci. Bez této trasy existuje dokončené rukování vedle odpovědí aplikace, které nikdy nedorazí.

Když router tuto trasu neunese, zvolte zdokumentovaný návrh zpáteční cesty. Tiché přidání NATu místo toho mění model zdroje, který jste právě zapsali.

Povolte jednu službu, ne podsíť

Zapněte na bráně předávání IPv4 a držte tři úlohy firewallu oddělené: pusťte posluchač WireGuardu, předávejte zdroj notebooku jen na 192.168.50.20 a zbytek domácí sítě nechte pro tohoto peera zavřený. Včleňte pravidla do již používaného správce firewallu, místo abyste ho vyplachovali. Trasa pro celý domácí prefix není oprávnění použít každé zařízení uvnitř.

Vlastní autentizace aplikace a firewall hosta jsou samostatná brána. Pojmenujte službu, kterou sada pravidel povoluje, aby ji příští recenzent mohl zkontrolovat proti zamýšlenému úkolu.

Otestujte zvenku a pak čistě vyřaďte

Nahodíte profily přes jejich vlastníka, potvrďte rukování, pak vyzkoušejte zamýšlenou aplikaci ze schválené vnější sítě a zkontrolujte odpověď. Zkuste domácí službu, která musí zůstat odmítnutá, protože permisivní pravidlo je neviditelné, dokud ho něco nepoužije. Pro HTTPS použijte jméno z certifikátu a nechte validaci běžet; napsání surové adresy a proklikání varování nic o cestě nedokazuje. PersistentKeepalive je nepovinný: pomáhá peerovi za NAT po nečinnosti, ale není to chybějící trasa ani oprava oprávnění.

Dynamická veřejná adresa potřebuje aktualizace DNS a notebook musí po změně znovu přeložit svůj koncový bod; nové záznamy DNS nakonfigurovaný koncový bod nepřesunou. Vyřaďte notebook odstraněním jeho peeru z uložené i aktivní konfigurace; smazání samotného profilu notebooku autorizaci brány neodvolá.

Související články