Etxeko WireGuard tunelak LANetik itzulera-bidea behar du

Etxerako sarbidea zerbitzu pribatu bakarra da, ez bigarren internet-irteera. WireGuard routerraren atzeko Linux makinan amaitzen da, routerrak bere egungo lana mantentzen du, eta eramangarriak etxeko prefijoak soilik bidaltzen ditu tuneletik. Zein gailuk birbidaltzen duen eta zeinek amaitzen duen da geroagoko arau bakoitza bertatik datorren erabakia. Banaketa hori gaizki eginez gero, gehitzeko asmorik ez zenuen NAT arazten arituko zara.

Erabaki nork birbidaltzen duen eta nork amaitzen duen

Routerrak sarbide publikoa du: UDP paketea onartzen du eta Linux ostalariari pasatzen dio. Ostalari horrek WireGuard entzulea eta LANera birbidaltzeko erabakia ditu. Praktikan mapaketak UDP 51820 192.168.50.10 helbidera bidaltzen du, eta aplikazioaren portua itxita geratzen da. Rolen bereizketa mantentzeak suebakia labur mantentzen du.

Idatzi helbide-plana interfazea sortu aurretik. Routerra 192.168.50.1, atebidea 192.168.50.10, zerbitzua 192.168.50.20, tunela 10.77.0.0/24 atebide .1 eta eramangarri .2-rekin. Tunelaren barrutiak ez du eramangarria jada iristen den sare batekin gainjarri behar, bestela helmugak anbiguo bihurtzen dira. Operadore-mailako NATak edo goiko router batek sarrera-blokea dezake, eta tokiko portu-birbidalketa batek ere ez du hori konpontzen.

Trukean eman gakoak, eta gero neurtu AllowedIPs

Sortu gako-pare bereizia mutur bakoitzeko eta eraman gako publikoak soilik egiaztatutako kanaletik. Atebidearen peer sarrerak eramangarriaren tunel-iturria soilik onartzen du, etxeko LANa atebidearen atzean baitago, ez eramangarriaren atzean. LANa sarrera horretan jartzeak eraiki ez duzun topologia deskribatzen du.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs etxeko prefijoa gehi atebidearen tunel-helbidea da, inoiz ez 0.0.0.0/0, horrela nabigazio arruntak bere bide lokala mantentzen du. Mantendu konfigurazio-jabe bakarra, eta inoiz ez lotu interfaze bera bigarren sare-kudeatzaile bati.

Itzulera-bidea da jendeak saltatzen duen zatia

Diseinu honek eramangarriaren 10.77.0.2 iturria mantentzen du atebide gisa maskaratu beharrean, beraz etxeko gailuek erantzuten jakin behar dute. Gehitu bide estatikoa etxeko routerrean 10.77.0.0/24rako, 192.168.50.10 hurrengo jauzi gisa, eta irakurri wg-quickek AllowedIPs-etik zer eratortzen duen bere erreferentzian. Bide hori gabe, amaitutako esku-ematea inoiz iristen ez diren aplikazio-erantzunekin bizi da.

Routerrak bide hori eramaten ez badu, aukeratu dokumentatutako itzulera-diseinu bat. NAT isilki gehitzeak, ordea, idatzi berri duzun iturri-eredua aldatzen du.

Baimendu zerbitzu bakarra, ez azpisarea

Gaitu IPv4 birbidalketa atebidean eta mantendu suebakiko hiru zeregin bereizita: onartu WireGuard entzulea, birbidali eramangarriaren iturria 192.168.50.20ra soilik, eta utzi etxeko gainerako sarea peer horrentzat itxita. Integratu arauak jadanik erabiltzen ari den suebaki-kudeatzailean, hustu beharrean. Etxeko prefijo osoarentzako bide bat ez da barruko gailu bakoitza erabiltzeko baimena.

Aplikazioaren autentifikazioa eta ostalariaren suebakia ate bereizia dira. Izendatu arau-multzoak onartzen duen zerbitzua, hurrengo berrikusleak jasotako zereginarekin alderatu ahal izan dezan.

Probatu kanpotik eta gero erretiratu garbi

Igo profilak beren jabearen bidez, egiaztatu esku-ematea, eta gero probatu jasotako aplikazioa kanpoko sare onartu batetik eta egiaztatu erantzuna. Saiatu ukatuta egon behar duen etxeko zerbitzu bat, arau permisibo bat ikusezina baita norbaitek erabili arte. HTTPSrako, erabili ziurtagiriko izena eta utzi baliozkotzeari lanean; helbide gordina idazteak eta abisua gainditzeak ez du bideari buruz ezer frogatzen. PersistentKeepalive aukerakoa da: NATari lotutako peer bati laguntzen dio denbora inaktiboaren ondoren, baina ez da falta den bide bat ezta baimen-konponketa bat ere.

Helbide publiko dinamikoak DNS eguneraketak behar ditu, eta eramangarriak bere muturra berriro ebatziko behar du aldaketaren ondoren; DNS erregistro berriek ez dute konfiguratutako muturra mugitzen. Erretiratu eramangarria bere peer gordetako eta aktiboko konfiguraziotik kenduz; eramangarriaren profila soilik ezabatzeak ez du atebidearen baimena baliogabetzen.