Mae twnnel WireGuard cartref angen llwybr yn ôl o'r LAN

Mae mynediad cartref yn un gwasanaeth preifat, nid ail allanfa rhyngrwyd. Mae WireGuard yn terfynu ar flwch Linux y tu ôl i'r llwybrydd, mae'r llwybrydd yn cadw ei waith presennol, ac mae'r gliniadur yn anfon dim ond rhagddodiad y cartref drwy'r twnnel. Pa ddyfais sy'n anfon ymlaen a pha un sy'n terfynu yw'r penderfyniad y mae pob rheol ddiweddarach yn dilyn ohono. Camgymerwch y rhaniad hwnnw a byddwch yn tynnu nam ar NAT na fwriedid ei ychwanegu.

Penderfynwch pwy sy'n anfon ymlaen a phwy sy'n terfynu

Mae'r llwybrydd yn berchen ar y fynedfa gyhoeddus: mae'n derbyn y pecyn UDP ac yn ei basio i'r gwesteiwr Linux. Mae'r gwesteiwr hwnnw'n berchen ar wrandawr WireGuard a'r penderfyniad anfon ymlaen i'r LAN. Yn ymarferol mae'r mapio'n anfon UDP 51820 i 192.168.50.10, ac mae porth yr ap ei hun yn aros ar gau. Mae cadw'r rolau ar wahân yn cadw'r tânfur yn fyr.

Ysgrifennwch y cynllun cyfeiriadau cyn creu'r rhyngwyneb. Llwybrydd 192.168.50.1, giât 192.168.50.10, gwasanaeth 192.168.50.20, twnnel 10.77.0.0/24 gyda giât .1 a gliniadur .2. Rhaid i amrediad y twnnel beidio â gorgyffwrdd â rhwydwaith y mae'r gliniadur eisoes yn ei gyrraedd, neu bydd cyrchfannau'n mynd yn amwys. Gall NAT carrif-rada a llwybrydd uwch rwystro mynediad i mewn, ac nid yw unrhyw basio porth lleol yn gwella hynny.

Cyfnewidiwch allweddi, yna mesurwch yr AllowedIPs

Crëwch bâr allweddi ar wahân ar gyfer pob pen a symudwch ond allweddi cyhoeddus drwy sianel wedi'i gwirio. Mae cofnod peer y giât yn caniatáu ffynhonnell twnnel y gliniadur yn unig, oherwydd mae LAN y cartref y tu ôl i'r giât ac nid y tu ôl i'r gliniadur. Mae rhoi'r LAN yn y cofnod hwnnw'n disgrifio topoleg na chawsoch ei hadeiladu.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs yw rhagddodiad y cartref ynghyd â chyfeiriad twnnel y giât, byth yn 0.0.0.0/0, fel bod pori cyffredin yn cadw ei lwybr lleol. Cadwch un perchennog cyfluniad, a pheidiwch byth â chysylltu'r un rhyngwyneb â rheolwr rhwydwaith arall.

Y llwybr yn ôl yw'r rhan y mae pobl yn ei hepgor

Mae'r dyluniad hwn yn cadw ffynhonnell 10.77.0.2 y gliniadur yn lle ei masgio fel y giât, felly rhaid i ddyfeisiau'r cartref wybod sut i ateb. Ychwanegwch lwybr statig ar lwybrydd y cartref ar gyfer 10.77.0.0/24 gyda 192.168.50.10 fel y naid nesaf, a darllenwch beth mae wg-quick yn ei ddiddwytho o AllowedIPs yn ei gyfeirlyfr. Heb y llwybr hwnnw, mae handshake wedi'i gwblhau'n cydfodoli ag atebion yr ap na fyddant byth yn cyrraedd.

Os na all y llwybrydd gario'r llwybr hwnnw, dewiswch ddyluniad dychwelyd wedi'i ddogfennu. Mae ychwanegu NAT yn dawel yn lle hynny'n newid y model ffynhonnell a ysgrifennwyd gennych gynnau.

Caniatáu un gwasanaeth, nid yr is-rwydwaith

Galluogwch anfon ymlaen IPv4 ar y giât a chadwch dri dyletswydd tânfur ar wahân: derbyn gwrandawr WireGuard, anfon ffynhonnell y gliniadur i 192.168.50.20 yn unig, a gadael gweddill rhwydwaith y cartref ar gau i'r peer hwnnw. Integrwch y rheolau â'r rheolwr tânfur sydd eisoes yn cael ei ddefnyddio yn lle ei fflysio. Nid yw llwybr ar gyfer holl ragddodiad y cartref yn ganiatâd i ddefnyddio pob dyfais y tu mewn iddo.

Mae dilysu'r ap ei hun a thânfur y gwesteiwr yn giât ar wahân. Enwwch y gwasanaeth y mae'r set rheolau'n ei ganiatáu, fel y gall yr adolygydd nesaf ei wirio yn erbyn y dasg a fwriadwyd.

Profwch o'r tu allan, yna ymddiweddwch yn lân

Codwch y proffiliau drwy eu perchennog, cadarnhewch yr handshake, yna arferwch yr ap a fwriadwyd o rwydwaith allanol a gymeradwywyd a gwiriwch yr ateb. Ceisiwch wasanaeth cartref y dylai aros yn wadu, oherwydd mae rheol ganiatäol yn anweledig nes bod rhywbeth yn ei defnyddio. Ar gyfer HTTPS, defnyddiwch yr enw ar y dystysgrif a gadewch i'r dilysu redeg; nid yw teipio'r cyfeiriad crai a chlicio drwy'r rhybudd yn profi dim am y llwybr. Mae PersistentKeepalive yn ddewisol: mae'n helpu peer sydd wedi'i rwymo i NAT ar ôl segurdod, ond nid yw'n llwybr sy'n eisiau nac yn drwsiaid caniatâd.

Mae angen diweddariadau DNS ar gyfer cyfeiriad cyhoeddus dynamig, ac mae angen i'r gliniadur ail-ddatrys ei ben draw ar ôl newid; nid yw cofnodion DNS newydd yn symud pen draw sydd wedi'i gyflunio. Ymddiweddwch y gliniadur drwy ddileu ei peer o'r cyfluniad a storir ac sy'n weithredol; nid yw dileu proffil y gliniadur yn unig yn dirymu awdurdodiad y giât.