Un túnel WireGuard doméstico necesita unha ruta de volta desde a LAN

O handshake é a parte doada. Decida o reparto de traballo entre o router e a pasarela, manteña intacta a fonte do portátil e déalle á LAN unha ruta de volta.

O acceso á casa é un único servizo privado, non unha segunda saída a internet. WireGuard remata nunha máquina Linux detrás do router, o router conserva a súa tarefa actual e o portátil só envía o prefixo da casa polo túnel. Que dispositivo reenvía e cal remata é a decisión da que depende cada regra posterior. Se se equivoca nese reparto, acabará depurando un NAT que non pensaba engadir.

Decida quen reenvía e quen remata

O router posúe a entrada pública: acepta o paquete UDP e pásao ao host Linux. Ese host posúe o escoitador de WireGuard e a decisión de reenvío cara á LAN. Na práctica, o mapeo envía UDP 51820 a 192.168.50.10, e o porto propio da aplicación permanece pechado. Manter os papeis separados mantén o cortalumes curto.

Escriba o plan de enderezos antes de crear a interface. Router 192.168.50.1, pasarela 192.168.50.10, servizo 192.168.50.20, túnel 10.77.0.0/24 con pasarela .1 e portátil .2. O rango do túnel non debe solaparse cunha rede á que o portátil xa chega, ou os destinos vólvense ambiguos. O NAT de operador ou un router augas arriba poden bloquear o acceso entrante, e ningún reenvío de porto local o arranxa.

Intercambie chaves e logo dimensione as AllowedIPs

Cree un par de chaves separado por extremo e mova só chaves públicas por unha canle verificada. A entrada de peer da pasarela permite só a fonte do túnel do portátil, porque a LAN da casa está detrás da pasarela e non detrás do portátil. Poñer a LAN nesa entrada describe unha topoloxía que non construíu.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs é o prefixo da casa máis o enderezo do túnel da pasarela, nunca 0.0.0.0/0, así a navegación habitual conserva o seu camiño local. Teña un só propietario da configuración e nunca conecte a mesma interface a un segundo xestor de rede.

A ruta de volta é a parte que a xente omite

Este deseño conserva a fonte 10.77.0.2 do portátil en lugar de enmascarala como a pasarela, así que os dispositivos da casa deben saber como responderen. Engada unha ruta estática no router da casa para 10.77.0.0/24 con 192.168.50.10 como seguinte salto, e lea que deriva wg-quick das AllowedIPs na súa referencia. Sen esa ruta, un handshake completado convive con respostas da aplicación que nunca chegan.

Se o router non pode levar esa ruta, escolla un deseño de volta documentado. Engadir NAT en silencio cambia o modelo de fonte que acaba de escribir.

Permita un servizo, non a subrede

Active o reenvío IPv4 na pasarela e manteña tres deberes do cortalumes separados: admitir o escoitador de WireGuard, reenviar a fonte do portátil só a 192.168.50.20 e deixar o resto da rede da casa pechada a ese peer. Integre as regras co xestor de cortalumes que xa usa en lugar de baleiralo. Unha ruta para todo o prefixo da casa non é permiso para usar cada dispositivo dentro del.

A autenticación da aplicación e o cortalumes do host son unha porta aparte. Nomee o servizo que permite o conxunto de regras, para que o seguinte revisor poida contrastalo coa tarefa prevista.

Probe desde fóra e logo retíreo limpo

Levante os perfís a través do seu propietario, confirme o handshake e despois exercite a aplicación prevista desde unha rede externa aprobada e comprobe a resposta. Intente un servizo da casa que deba seguir denegado, porque unha regra permisiva é invisible ata que algo a usa. Para HTTPS, use o nome do certificado e deixe que a validación se execute; escribir o enderezo cru e pasar o aviso non demostra nada sobre o camiño. PersistentKeepalive é opcional: axuda a un peer ligado a NAT tras un tempo de inactividade, pero non é unha ruta que falte nin unha corrección de permisos.

Un enderezo público dinámico necesita actualizacións de DNS, e o portátil debe volver resolver o seu extremo tras un cambio; os rexistros DNS novos non moven un extremo configurado. Retire o portátil quitando o seu peer da configuración gardada e activa; borrar só o perfil do portátil non revoga a autorización da pasarela.

Artigos relacionados