Kodu WireGuard-tunnel vajab LAN-ist tagasiteed

Kodu juurdepääs on üks privaatne teenus, mitte teine interneti väljapääs. WireGuard lõpeb ruuteri taga Linuxi masinas, ruuter jätkab oma senist tööd ja sülearvuti saadab tunnelist läbi ainult koduprefiksi. Milline seade edastab ja milline lõpetab, on otsus, millest tuleneb iga järgnev reegel. Kui selle jaotuse vale teed, hakkad siluma NAT-i, mida sa ei kavatsenudki lisada.

Otsustage, kes edastab ja kes lõpetab

Avalik sissepääs kuulub ruuterile: see võtab UDP-paketi vastu ja annab selle Linuxi hostile edasi. See host omab WireGuardi kuulajat ja LAN-i edastamise otsust. Praktikas saadab vastendus UDP 51820 aadressile 192.168.50.10 ja rakenduse enda port jääb suletuks. Rollide lahus hoidmine hoiab tulemüüri lühikesena.

Kirjutage aadressiplaan enne liidese loomist. Ruuter 192.168.50.1, lüüs 192.168.50.10, teenus 192.168.50.20, tunnel 10.77.0.0/24 lüüsiga .1 ja sülearvutiga .2. Tunnelivahemik ei tohi kattuda võrguga, kuhu sülearvuti juba pääseb, muidu muutuvad sihtkohad kahemõtteliseks. Operaatori NAT või ülemine ruuter võib sissetuleva juurdepääsu blokeerida ja ükski kohalik pordiedastus ei paranda seda.

Vahetage võtmed ja siis mõõtke AllowedIPs

Looge igale lõpp-punktile eraldi võtmepaar ja liigutage ainult avalikke võtmeid kontrollitud kanali kaudu. Lüüsi peer-kirje lubab ainult sülearvuti tunneli allikat, sest kodu-LAN asub lüüsi, mitte sülearvuti taga. LAN-i sinna kirjesse panemine kirjeldab topoloogiat, mida te ei ehitanud.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs on koduprefiks pluss lüüsi tunneliaadress, mitte kunagi 0.0.0.0/0, nii et tavaline sirvimine hoiab oma kohaliku tee. Hoidke ühte konfiguratsiooni omanikku ja ärge kunagi ühendage sama liidest teise võrguhalduriga.

Tagasitee on see osa, mille inimesed vahele jätavad

See lahendus hoiab sülearvuti allika 10.77.0.2, selle asemel et maskeerida seda lüüsiks, seega kodused seadmed peavad teadma, kuidas sellele vastata. Lisage koduruuterile staatiline tee 10.77.0.0/24 jaoks järgmise hüppena 192.168.50.10, ja lugege, mida wg-quick AllowedIPs-ist tuletab oma viites. Ilma selle teeta eksisteerib lõpetatud kätlus koos rakenduse vastustega, mis ei jõua kunagi kohale.

Kui ruuter ei suuda seda teed kanda, valige dokumenteeritud tagasilahendus. Vaikselt NAT-i lisamine muudab hoopis allikamudelit, mille just kirja panite.

Lubage üks teenus, mitte alamvõrk

Lülitage lüüsil sisse IPv4 edastamine ja hoidke kolm tulemüüriülesannet lahus: lubage WireGuardi kuulaja, edastage sülearvuti allikas ainult aadressile 192.168.50.20 ja jätke ülejäänud koduvõrk selle peeri jaoks suletuks. Integreerige reeglid juba kasutatavasse tulemüürihaldurisse, mitte ärge tühjendage seda. Terve koduprefiksi tee ei ole luba kasutada iga seadet selle sees.

Rakenduse enda autentimine ja hosti tulemüür on eraldi värav. Nimetage teenus, mille reeglistik lubab, et järgmine ülevaataja saaks seda kavandatud ülesandega võrrelda.

Testige väljast ja seejärel eemaldage puhtalt

Tõstke profiilid üles nende omaniku kaudu, kinnitage kätlus, seejärel proovige kavandatud rakendust heakskiidetud välisvõrgust ja kontrollige vastust. Proovige kodust teenust, mis peab jääma keelatuks, sest lubav reegel on nähtamatu, kuni miski seda kasutab. HTTPS-i puhul kasutage sertifikaadil olevat nime ja laske valideerimisel töötada; töötlemata aadressi tippimine ja hoiatusest läbi klõpsamine ei tõesta tee kohta midagi. PersistentKeepalive on valikuline: see aitab NAT-i kinnitatud peeri pärast jõudeaega, kuid see ei ole puuduv tee ega õiguse parandus.

Dünaamiline avalik aadress vajab DNS-värskendusi ja sülearvuti peab pärast muudatust oma lõpp-punkti uuesti lahendama; uued DNS-kirjed ei liiguta konfigureeritud lõpp-punkti. Eemaldage sülearvuti, eemaldades selle peeri salvestatud ja aktiivsest konfiguratsioonist; ainult sülearvuti profiili kustutamine ei tühista lüüsi autoriseeringut.