Hejma WireGuard-tunelo bezonas revenvojon el la LAN

Hejma aliro estas unu privata servo, ne dua interreta elirejo. WireGuard finiĝas sur Linux-maŝino malantaŭ la enkursigilo, la enkursigilo konservas sian nunan taskon, kaj la tekkomputilo sendas tra la tunelo nur la hejman prefikson. Kiu aparato plusendas kaj kiu finiĝas estas la decido, el kiu sekvas ĉiu posta regulo. Se vi eraros tiun dividon, vi sencimigos NAT, kiun vi neniam intencis aldoni.

Decidu, kiu plusendas kaj kiu finiĝas

La enkursigilo posedas la publikan eniron: ĝi akceptas la UDP-paketon kaj transdonas ĝin al la Linux-gastiganto. Tiu gastiganto posedas la WireGuard-aŭskultanton kaj la plusendan decidon en la LAN. Praktike la mapado sendas UDP 51820 al 192.168.50.10, kaj la propra pordo de la aplikaĵo restas fermita. Apartigi la rolojn tenas la fajroŝirmilon mallonga.

Skribu la adresplanon antaŭ ol krei la interfacon. Enkursigilo 192.168.50.1, pordego 192.168.50.10, servo 192.168.50.20, tunelo 10.77.0.0/24 kun pordego .1 kaj tekkomputilo .2. La tunela gamo ne rajtas koincidi kun reto, kiun la tekkomputilo jam atingas, alie la celoj fariĝas ambiguaj. Operanto-nivela NAT aŭ supra enkursigilo povas bloki envenan aliron, kaj neniu loka pordoplusendado riparas tion.

Interŝanĝu ŝlosilojn, poste dimensiu la AllowedIPs

Kreu apartan ŝlosilparon por ĉiu finpunkto kaj movu nur publikajn ŝlosilojn tra kontrolita kanalo. La peer-ero de la pordego permesas nur la tunelan fonton de la tekkomputilo, ĉar la hejma LAN estas malantaŭ la pordego kaj ne malantaŭ la tekkomputilo. Meti la LAN en tiun eron priskribas topologion, kiun vi ne konstruis.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs estas la hejma prefikso plus la tunela adreso de la pordego, neniam 0.0.0.0/0, do ordinara retumado konservas sian lokan vojon. Tenu unu agordan posedanton, kaj neniam alligu la saman interfacon al dua reta administrilo.

La revenvojo estas la parto, kiun homoj preterlasas

Ĉi tiu dezajno konservas la fonton 10.77.0.2 de la tekkomputilo anstataŭ maski ĝin kiel la pordego, do hejmaj aparatoj devas scii kiel respondi al ĝi. Aldonu statikan vojon sur la hejma enkursigilo por 10.77.0.0/24 kun 192.168.50.10 kiel sekva salto, kaj legu, kion wg-quick derivas de AllowedIPs en sia referenco. Sen tiu vojo, finita manpremo ekzistas kune kun aplikaĵaj respondoj, kiuj neniam alvenas.

Se la enkursigilo ne povas porti tiun vojon, elektu dokumentitan revenan dezajnon. Silente aldoni NAT anstataŭe ŝanĝas la fontmodelon, kiun vi ĝuste skribis.

Permesu unu servon, ne la subreton

Ŝaltu IPv4-plusendadon sur la pordego kaj tenu tri fajroŝirmilajn taskojn apartaj: akceptu la WireGuard-aŭskultanton, plusendu la fonton de la tekkomputilo nur al 192.168.50.20, kaj lasu la reston de la hejma reto fermita al tiu peer. Integru la regulojn en la jam uzatan fajroŝirmilan administrilon anstataŭ malplenigi ĝin. Vojo por la tuta hejma prefikso ne estas permeso uzi ĉiun aparaton interne.

La propra aŭtentikigo de la aplikaĵo kaj la gastiganta fajroŝirmilo estas aparta pordego. Nomu la servon, kiun la regularo permesas, por ke la sekva revizianto povu kontroli ĝin kontraŭ la celata tasko.

Testu de ekstere, poste malmuntu pure

Levigu la profilojn tra ilia posedanto, konfirmu la manpremon, poste ekzercu la celatan aplikaĵon el aprobita ekstera reto kaj kontrolu la respondon. Provu hejman servon, kiu devas resti malpermesita, ĉar permesa regulo estas nevidebla ĝis io uzas ĝin. Por HTTPS uzu la nomon sur la atestilo kaj lasu la kontroladon funkcii; tajpi la krudan adreson kaj klaki tra la averto pruvas nenion pri la vojo. PersistentKeepalive estas laŭvola: ĝi helpas NAT-ligitan peer post senaktiveco, sed ĝi ne estas mankanta vojo nek permesa riparo.

Dinamika publika adreso bezonas DNS-ĝisdatigojn, kaj la tekkomputilo devas relsolvi sian finpunkton post ŝanĝo; novaj DNS-rikordoj ne movas agorditan finpunkton. Malmuntu la tekkomputilon forigante ĝian peer el la konservita kaj aktiva agordo; forigi nur la profilon de la tekkomputilo ne revokas la rajtigon de la pordego.