Un túnel WireGuard doméstico necesita una ruta de vuelta desde la LAN

El acceso a casa es un único servicio privado, no una segunda salida a internet. WireGuard termina en una máquina Linux detrás del router, el router conserva su tarea actual y el portátil solo envía el prefijo de casa por el túnel. Qué dispositivo reenvía y cuál termina es la decisión de la que depende cada regla posterior. Si se equivoca en ese reparto, acabará depurando un NAT que no pensaba añadir.

Decida quién reenvía y quién termina

El router posee la entrada pública: acepta el paquete UDP y lo pasa al host Linux. Ese host posee el escucha de WireGuard y la decisión de reenvío hacia la LAN. En la práctica, el mapeo envía UDP 51820 a 192.168.50.10, y el puerto propio de la aplicación permanece cerrado. Mantener los papeles separados mantiene corto el cortafuegos.

Escriba el plan de direcciones antes de crear la interfaz. Router 192.168.50.1, puerta de enlace 192.168.50.10, servicio 192.168.50.20, túnel 10.77.0.0/24 con puerta .1 y portátil .2. El rango del túnel no debe solaparse con una red que el portátil ya alcanza, o los destinos se vuelven ambiguos. El NAT de operador o un router aguas arriba pueden bloquear el acceso entrante, y ningún reenvío de puerto local lo repara.

Intercambie claves y luego dimensione las AllowedIPs

Cree un par de claves separado por extremo y mueva solo claves públicas por un canal verificado. La entrada de peer de la puerta de enlace permite solo la fuente del túnel del portátil, porque la LAN de casa está detrás de la puerta y no detrás del portátil. Poner la LAN en esa entrada describe una topología que no ha construido.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs es el prefijo de casa más la dirección de túnel de la puerta de enlace, nunca 0.0.0.0/0, así la navegación normal conserva su camino local. Tenga un solo propietario de la configuración y nunca conecte la misma interfaz a un segundo gestor de red.

La ruta de vuelta es la parte que la gente omite

Este diseño conserva la fuente 10.77.0.2 del portátil en lugar de enmascararla como la puerta de enlace, así que los dispositivos de casa deben saber cómo responderle. Añada una ruta estática en el router de casa para 10.77.0.0/24 con 192.168.50.10 como siguiente salto, y lea qué deriva wg-quick de AllowedIPs en su referencia. Sin esa ruta, un handshake completado convive con respuestas de la aplicación que nunca llegan.

Si el router no puede llevar esa ruta, elija un diseño de vuelta documentado. Añadir NAT en silencio cambia el modelo de fuente que acaba de escribir.

Permita un servicio, no la subred

Active el reenvío IPv4 en la puerta de enlace y mantenga tres deberes del cortafuegos separados: admitir el escucha de WireGuard, reenviar la fuente del portátil solo a 192.168.50.20 y dejar el resto de la red de casa cerrada a ese peer. Integre las reglas con el gestor de cortafuegos que ya usa en lugar de vaciarlo. Una ruta para todo el prefijo de casa no es permiso para usar cada dispositivo dentro de él.

La autenticación de la aplicación y el cortafuegos del host son una puerta aparte. Nombre el servicio que permite el conjunto de reglas, para que el siguiente revisor pueda contrastarlo con la tarea prevista.

Pruebe desde fuera y luego retírelo limpio

Levante los perfiles a través de su propietario, confirme el handshake y después ejercite la aplicación prevista desde una red externa aprobada y compruebe la respuesta. Intente un servicio de casa que deba seguir denegado, porque una regla permisiva es invisible hasta que algo la usa. Para HTTPS, use el nombre del certificado y deje que la validación se ejecute; escribir la dirección cruda y pasar el aviso no demuestra nada sobre el camino. PersistentKeepalive es opcional: ayuda a un peer ligado a NAT tras un tiempo de inactividad, pero no es una ruta que falte ni una corrección de permisos.

Una dirección pública dinámica necesita actualizaciones de DNS, y el portátil debe volver a resolver su extremo tras un cambio; los registros DNS nuevos no mueven un extremo configurado. Retire el portátil quitando su peer de la configuración guardada y activa; borrar solo el perfil del portátil no revoca la autorización de la puerta de enlace.