Kodin WireGuard-tunneli tarvitsee paluureitin LANista

Pääsy kotiin on yksi yksityinen palvelu, ei toinen internet-uloskäynti. WireGuard päättyy reitittimen takana olevaan Linux-koneeseen, reititin säilyttää nykyisen tehtävänsä ja kannettava lähettää tunnelin läpi vain kodin etuliitteen. Mikä laite välittää ja mikä päättää, on päätös, josta jokainen myöhempi sääntö seuraa. Jos jaat tämän väärin, alat selvittää NATia, jota et koskaan aikonut lisätä.

Päätä, kuka välittää ja kuka päättää

Reititin omistaa julkisen sisäänkäynnin: se ottaa UDP-paketin vastaan ja välittää sen Linux-isännälle. Tämä isäntä omistaa WireGuard-kuuntelijan ja LANiin välittämisen päätöksen. Käytännössä kartoitus lähettää UDP 51820:n osoitteeseen 192.168.50.10, ja sovelluksen oma portti pysyy suljettuna. Roolien erottaminen pitää palomuurin lyhyenä.

Kirjoita osoitesuunnitelma ennen liitännän luomista. Reititin 192.168.50.1, yhdyskäytävä 192.168.50.10, palvelu 192.168.50.20, tunneli 10.77.0.0/24 yhdyskäytävällä .1 ja kannettavalla .2. Tunnelialue ei saa mennä päällekkäin verkon kanssa, johon kannettava jo pääsee, muuten kohteista tulee monitulkintaisia. Operaattoritason NAT tai ylempi reititin voi estää saapuvan pääsyn, eikä mikään paikallinen portinohjaus korjaa sitä.

Vaihda avaimet ja mitoita sitten AllowedIPs

Luo erillinen avainpari jokaista päätepistettä varten ja siirrä vain julkisia avaimia vahvistetun kanavan kautta. Yhdyskäytävän peer-merkintä sallii vain kannettavan tunnelilähteen, koska kodin LAN on yhdyskäytävän eikä kannettavan takana. LANin laittaminen siihen merkintään kuvaa topologiaa, jota et rakentanut.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs on kodin etuliite plus yhdyskäytävän tunneliosoite, ei koskaan 0.0.0.0/0, joten tavallinen selailu säilyttää paikallisen polkunsa. Pidä yksi kokoonpanon omistaja, äläkä koskaan liitä samaa liitäntää toiseen verkkohallintaan.

Paluureitti on se osa, jonka ihmiset ohittavat

Tämä suunnittelu säilyttää kannettavan 10.77.0.2-lähteen sen sijaan että naamioisi sen yhdyskäytäväksi, joten kodin laitteiden on tiedettävä, miten vastata siihen. Lisää kodin reitittimelle staattinen reitti 10.77.0.0/24:lle seuraavana hyppynä 192.168.50.10, ja lue, mitä wg-quick johtaa AllowedIPsistä sen viitteessä. Ilman sitä reittiä valmis kättely on olemassa yhdessä sovellusvastausten kanssa, jotka eivät koskaan saavu.

Jos reititin ei kanna sitä reittiä, valitse dokumentoitu paluusuunnittelu. NATin lisääminen hiljaa muuttaa sen sijaan juuri kirjoittamaasi lähdemallia.

Salli yksi palvelu, ei aliverkkoa

Ota IPv4-välitys käyttöön yhdyskäytävässä ja pidä kolme palomuuritehtävää erillään: päästä WireGuard-kuuntelija läpi, välitä kannettavan lähde vain osoitteeseen 192.168.50.20 ja jätä muu kodin verkko suljetuksi tältä peeriltä. Integroi säännöt jo käytössä olevaan palomuurihallintaan sen tyhjentämisen sijaan. Reitti koko kodin etuliitteelle ei ole lupa käyttää jokaista sen sisäistä laitetta.

Sovelluksen oma todennus ja isännän palomuuri ovat erillinen portti. Nimeä palvelu, jonka sääntöjoukko sallii, jotta seuraava arvioija voi tarkistaa sen aiottua tehtävää vasten.

Testaa ulkoa ja poista sitten siististi

Nosta profiilit niiden omistajan kautta, vahvista kättely ja kokeile sitten aiottua sovellusta hyväksytystä ulkoverkosta ja tarkista vastaus. Yritä kotipalvelua, jonka pitää pysyä kiellettynä, sillä salliva sääntö on näkymätön, kunnes jokin käyttää sitä. Käytä HTTPS:ssa varmenteen nimeä ja anna validoinnin toimia; raa'an osoitteen kirjoittaminen ja varoituksen läpi klikkaaminen ei todista polusta mitään. PersistentKeepalive on valinnainen: se auttaa NATiin sidottua peeriä joutoajan jälkeen, mutta se ei ole puuttuva reitti eikä käyttöoikeuden korjaus.

Dynaaminen julkinen osoite vaatii DNS-päivityksiä, ja kannettavan on ratkaistava päätepisteensä uudelleen muutoksen jälkeen; uudet DNS-tietueet eivät siirrä määritettyä päätepistettä. Poista kannettava poistamalla sen peer tallennetusta ja aktiivisesta kokoonpanosta; pelkän kannettavan profiilin poistaminen ei peru yhdyskäytävän valtuutusta.