Ένα τούνελ WireGuard στο σπίτι χρειάζεται διαδρομή επιστροφής από το LAN

Η πρόσβαση στο σπίτι είναι μία ιδιωτική υπηρεσία, όχι δεύτερη έξοδος στο διαδίκτυο. Το WireGuard τερματίζεται σε ένα μηχάνημα Linux πίσω από τον δρομολογητή, ο δρομολογητής κρατά την υπάρχουσα δουλειά του, και ο φορητός στέλνει μέσα από το τούνελ μόνο το πρόθεμα του σπιτιού. Ποια συσκευή προωθεί και ποια τερματίζει είναι η απόφαση από την οποία εξαρτάται κάθε επόμενος κανόνας. Αν κάνετε λάθος αυτή την κατανομή, θα διορθώνετε NAT που δεν σκοπεύατε να προσθέσετε.

Αποφασίστε ποιος προωθεί και ποιος τερματίζει

Ο δρομολογητής κατέχει τη δημόσια είσοδο: δέχεται το πακέτο UDP και το περνά στον κεντρικό υπολογιστή Linux. Αυτός ο υπολογιστής κατέχει τον ακροατή WireGuard και την απόφαση προώθησης στο LAN. Στην πράξη η αντιστοίχιση στέλνει UDP 51820 στο 192.168.50.10, και η δική του θύρα της εφαρμογής μένει κλειστή. Ο διαχωρισμός των ρόλων κρατά το τείχος προστασίας σύντομο.

Γράψτε το σχέδιο διευθύνσεων πριν δημιουργήσετε τη διεπαφή. Δρομολογητής 192.168.50.1, πύλη 192.168.50.10, υπηρεσία 192.168.50.20, τούνελ 10.77.0.0/24 με πύλη .1 και φορητό .2. Το εύρος του τούνελ δεν πρέπει να επικαλύπτει δίκτυο που ο φορητός ήδη φτάνει, αλλιώς οι προορισμοί γίνονται ασαφείς. Το NAT παρόχου ή ένας ανάντη δρομολογητής μπορεί να μπλοκάρει την εισερχόμενη πρόσβαση, και καμία τοπική προώθηση θύρας δεν το διορθώνει.

Ανταλλάξτε κλειδιά και μετά διαστασιολογήστε τα AllowedIPs

Δημιουργήστε ξεχωριστό ζεύγος κλειδιών για κάθε άκρο και μεταφέρετε μόνο δημόσια κλειδιά μέσα από επαληθευμένο κανάλι. Η καταχώριση peer της πύλης επιτρέπει μόνο την πηγή του τούνελ του φορητού, επειδή το οικιακό LAN βρίσκεται πίσω από την πύλη και όχι πίσω από τον φορητό. Αν βάλετε το LAN σε αυτή την καταχώριση, περιγράφετε τοπολογία που δεν χτίσατε.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

Το AllowedIPs είναι το πρόθεμα του σπιτιού συν τη διεύθυνση τούνελ της πύλης, ποτέ 0.0.0.0/0, ώστε η συνηθισμένη περιήγηση να κρατά την τοπική της διαδρομή. Κρατήστε έναν ιδιοκτήτη ρυθμίσεων και μη συνδέετε ποτέ την ίδια διεπαφή σε δεύτερο διαχειριστή δικτύου.

Η διαδρομή επιστροφής είναι το κομμάτι που οι άνθρωποι παραλείπουν

Αυτή η σχεδίαση κρατά την πηγή 10.77.0.2 του φορητού αντί να τη μασκάρει ως πύλη, οπότε οι συσκευές του σπιτιού πρέπει να ξέρουν πώς να απαντήσουν. Προσθέστε στατική διαδρομή στον οικιακό δρομολογητή για το 10.77.0.0/24 με το 192.168.50.10 ως επόμενο άλμα, και διαβάστε τι παράγει το wg-quick από τα AllowedIPs στην αναφορά του. Χωρίς αυτή τη διαδρομή, μια ολοκληρωμένη χειραψία συνυπάρχει με απαντήσεις εφαρμογής που δεν φτάνουν ποτέ.

Αν ο δρομολογητής δεν μπορεί να μεταφέρει αυτή τη διαδρομή, διαλέξτε τεκμηριωμένη σχεδίαση επιστροφής. Η ήσυχη προσθήκη NAT αλλάζει αντ' αυτού το μοντέλο πηγής που μόλις γράψατε.

Επιτρέψτε μία υπηρεσία, όχι το υποδίκτυο

Ενεργοποιήστε την προώθηση IPv4 στην πύλη και κρατήστε τρεις αρμοδιότητες τείχους προστασίας χωριστά: δεχτείτε τον ακροατή WireGuard, προωθήστε την πηγή του φορητού μόνο στο 192.168.50.20, και αφήστε το υπόλοιπο οικιακό δίκτυο κλειστό για αυτό το peer. Ενσωματώστε τους κανόνες στον διαχειριστή τείχους που ήδη χρησιμοποιείται αντί να τον αδειάσετε. Μια διαδρομή για όλο το πρόθεμα του σπιτιού δεν είναι άδεια χρήσης κάθε συσκευής μέσα σε αυτό.

Η δική του πιστοποίηση της εφαρμογής και το τείχος του κεντρικού υπολογιστή είναι ξεχωριστή πύλη. Ονομάστε την υπηρεσία που επιτρέπει το σύνολο κανόνων, ώστε ο επόμενος ελεγκτής να τη συγκρίνει με την προβλεπόμενη εργασία.

Δοκιμάστε από έξω και μετά αποσύρετε καθαρά

Σηκώστε τα προφίλ μέσω του ιδιοκτήτη τους, επιβεβαιώστε τη χειραψία, και μετά ασκήστε την προβλεπόμενη εφαρμογή από εγκεκριμένο εξωτερικό δίκτυο και ελέγξτε την απάντηση. Δοκιμάστε μια οικιακή υπηρεσία που πρέπει να μείνει απορριφθείσα, γιατί ένας επιτρεπτικός κανόνας είναι αόρατος μέχρι να τον χρησιμοποιήσει κάτι. Για HTTPS, χρησιμοποιήστε το όνομα του πιστοποιητικού και αφήστε την επικύρωση να τρέξει· το να πληκτρολογήσετε την ωμή διεύθυνση και να περάσετε την προειδοποίηση δεν αποδεικνύει τίποτα για τη διαδρομή. Το PersistentKeepalive είναι προαιρετικό: βοηθά peer δεσμευμένο σε NAT μετά από αδράνεια, αλλά δεν είναι λείπουσα διαδρομή ούτε διόρθωση δικαιώματος.

Μια δυναμική δημόσια διεύθυνση χρειάζεται ενημερώσεις DNS, και ο φορητός πρέπει να επιλύσει ξανά το άκρο του μετά από αλλαγή· νέες εγγραφές DNS δεν μετακινούν ρυθμισμένο άκρο. Αποσύρετε τον φορητό αφαιρώντας το peer του από την αποθηκευμένη και την ενεργή ρύθμιση· η διαγραφή μόνο του προφίλ του φορητού δεν ανακαλεί την εξουσιοδότηση της πύλης.