In WireGuard-tunnel thús hat in weromrûte fan it LAN nedich

Tagong thús is ien privee tsjinst, net in twadde internetútgong. WireGuard einiget op in Linux-boks efter de router, de router hâldt syn besteande taak, en de laptop stjoert allinnich it thúsfoarheaksel troch de tunnel. Hokker apparaat trochstjoert en hokker einiget is it beslút dêr't elke lettere regel út folget. Dwaan jo dy ferdieling ferkeard, dan debugge jo NAT dy't jo nea fan doel wiene ta te foegjen.

Bepaal wa't trochstjoert en wa't einiget

De router hat de iepenbiere yngong: hy nimt it UDP-pakket oan en jout it troch oan de Linux-host. Dy host hat de WireGuard-harketner en it beslút om nei it LAN troch te stjoeren. Yn 'e praktyk stjoert de mapping UDP 51820 nei 192.168.50.10, en de eigen poarte fan 'e applikaasje bliuwt ticht. It skieden hâlden fan 'e rollen hâldt de firewall koart.

Skriuw it adresplan foardat jo de ynterface meitsje. Router 192.168.50.1, gateway 192.168.50.10, tsjinst 192.168.50.20, tunnel 10.77.0.0/24 mei gateway .1 en laptop .2. It tunnelberik mei gjin oerlaap hawwe mei in netwurk dat de laptop al berikt, oars wurde bestimmingen dûbelsinnich. Carrier-grade NAT of in router boppe kin ynkommende tagong blokkearje, en gjin lokale poartetrochstjoering reparearret dat.

Wikselje kaaien, mjit dan de AllowedIPs

Meitsje in apart kaaipak per einpunt en ferpleats allinnich iepenbiere kaaien troch in ferifiearre kanaal. De peer-ynfier fan 'e gateway lit allinnich de tunnelboarne fan 'e laptop ta, om't it thús-LAN efter de gateway sit en net efter de laptop. It LAN yn dy ynfier sette beskriuwt in topology dy't jo net boud hawwe.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs is it thúsfoarheaksel plus it tunneladres fan 'e gateway, nea 0.0.0.0/0, sadat gewoan browsen syn lokale paad hâldt. Hâld ien konfiguraasje-eigner, en ferbyn gjin itselde ynterface oan in twadde netwurkbehearder.

De weromrûte is it part dat minsken oerslaan

Dit ûntwerp hâldt de boarne 10.77.0.2 fan 'e laptop yn stee fan dy as gateway te maskearjen, dus apparaten thús moatte witte hoe't se derop antwurdzje. Foegje in statyske rûte ta op 'e thúsrouter foar 10.77.0.0/24 mei 192.168.50.10 as folgjende hop, en lês wat wg-quick fan AllowedIPs ôfliedet yn syn referinsje. Sûnder dy rûte bestiet in foltôge hânskut njonken applikaasje-antwurden dy't nea oankomme.

Kin de router dy rûte net drage, kies dan in dokumintearre weromûntwerp. Stil NAT tafoegje feroaret ynstee it boarnemodel dat jo krekt opskreaun hawwe.

Stean ien tsjinst ta, net it subnet

Skeakelje IPv4-trochstjoering yn op 'e gateway en hâld trije firewall-taken apart: lit de WireGuard-harketner ta, stjoer de boarne fan 'e laptop allinnich nei 192.168.50.20, en lit de rest fan it thúsnetwurk ticht foar dy peer. Yntegrearje de regels yn 'e firewallbehearder dy't al brûkt wurdt yn stee fan him te leegjen. In rûte foar it hiele thúsfoarheaksel is gjin tastimming om elk apparaat derbinnen te brûken.

De eigen autentikaasje fan 'e applikaasje en de host-firewall binne in aparte poarte. Neam de tsjinst dy't de regelset tastiet, sadat de folgjende beoardieler dy tsjin de bedoelde taak kontrolearje kin.

Test fan bûten, doch dan skjin fuort

Bring de profilen omheech fia har eigner, befêstigje de hânskut, en oefen dan de bedoelde applikaasje fan bûten in goedkard ekstern netwurk en kontrolearje it antwurd. Probearje in thústsjinst dy't wegere bliuwe moat, want in tastienende regel is ûnsichtber oant eat him brûkt. Brûk foar HTTPS de namme op it sertifikaat en lit de falidaasje rinne; it rauwe adres type en troch de warskôging klikke bewiist neat oer it paad. PersistentKeepalive is opsjoneel: it helpt in oan NAT bûn peer nei idle tiid, mar it is gjin ûntbrekkende rûte of in tastimmingsreparaasje.

In dynamysk iepenbier adres hat DNS-bywurkingen nedich, en de laptop moat nei in feroaring syn einpunt opnij resolvje; nije DNS-records ferpleatse gjin konfigurearre einpunt. Set de laptop út troch syn peer út 'e bewarre en aktive konfiguraasje te heljen; allinnich it laptopprofyl wiskje lûkt de autorisaasje fan 'e gateway net yn.