ઘરના WireGuard ટનલને LAN તરફથી પરત રૂટની જરૂર છે

હેન્ડશેક સહેલો ભાગ છે. રાઉટર અને ગેટવે વચ્ચે કામની વહેંચણી નક્કી કરો, લેપટોપનો સ્રોત અકબંધ રાખો અને LANને પરત રૂટ આપો.

ઘરનો ઍક્સેસ એક ખાનગી સેવા છે, બીજું ઇન્ટરનેટ આઉટલેટ નહીં. WireGuard રાઉટરની પાછળના Linux બોક્સ પર સમાપ્ત થાય છે, રાઉટર તેનું હાલનું કામ જાળવી રાખે છે, અને લેપટોપ ટનલ દ્વારા ફક્ત ઘરનું પ્રીફિક્સ મોકલે છે. કયું ઉપકરણ ફોરવર્ડ કરે છે અને કયું સમાપ્ત કરે છે તે એ નિર્ણય છે જેમાંથી દરેક પછીનો નિયમ આવે છે. આ વહેંચણી ખોટી કરશો તો તમે એવા NATને ડિબગ કરશો જે કદી ઉમેરવાનું વિચાર્યું ન હતું.

કોણ ફોરવર્ડ કરે છે અને કોણ સમાપ્ત કરે છે તે નક્કી કરો

જાહેર પ્રવેશ રાઉટર પાસે છે: તે UDP પેકેટ સ્વીકારે છે અને Linux હોસ્ટને આપે છે. એ હોસ્ટ પાસે WireGuard શ્રોતા અને LANમાં ફોરવર્ડ કરવાનો નિર્ણય છે. વ્યવહારમાં મેપિંગ UDP 51820ને 192.168.50.10 પર મોકલે છે, અને એપ્લિકેશનનો પોતાનો પોર્ટ બંધ રહે છે. ભૂમિકાઓ અલગ રાખવાથી ફાયરવોલ ટૂંકું રહે છે.

ઇન્ટરફેસ બનાવતા પહેલાં સરનામા યોજના લખો. રાઉટર 192.168.50.1, ગેટવે 192.168.50.10, સેવા 192.168.50.20, ટનલ 10.77.0.0/24 જેમાં ગેટવે .1 અને લેપટોપ .2. ટનલની શ્રેણી એવા નેટવર્ક સાથે ઓવરલેપ ન થવી જોઈએ જ્યાં લેપટોપ પહેલેથી પહોંચે છે, નહીંતર ગંતવ્યો અસ્પષ્ટ બની જાય છે. કેરિયર-ગ્રેડ NAT અથવા ઉપરનું રાઉટર આવતા ઍક્સેસને અવરોધી શકે છે, અને કોઈ સ્થાનિક પોર્ટ ફોરવર્ડિંગ તેને સુધારતું નથી.

કી બદલો, પછી AllowedIPsનું માપ નક્કી કરો

દરેક છેડા માટે અલગ કી જોડી બનાવો અને ચકાસાયેલ ચેનલ દ્વારા ફક્ત જાહેર કી ખસેડો. ગેટવેની peer એન્ટ્રી ફક્ત લેપટોપના ટનલ સ્રોતને માન્યતા આપે છે, કારણ કે ઘરનું LAN લેપટોપની પાછળ નહીં, ગેટવેની પાછળ છે. એ એન્ટ્રીમાં LAN મૂકવું એવી ટોપોલોજી વર્ણવે છે જે તમે બનાવી નથી.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs એ ઘરનું પ્રીફિક્સ વત્તા ગેટવેનું ટનલ સરનામું છે, કદી 0.0.0.0/0 નહીં, જેથી સામાન્ય બ્રાઉઝિંગ તેનો સ્થાનિક માર્ગ રાખે. એક કન્ફિગરેશન માલિક રાખો, અને એ જ ઇન્ટરફેસ કદી બીજા નેટવર્ક મેનેજર સાથે જોડશો નહીં.

પરત રૂટ એ ભાગ છે જે લોકો છોડી દે છે

આ ડિઝાઇન લેપટોપના 10.77.0.2 સ્રોતને રાખે છે, તેને ગેટવે તરીકે માસ્ક ન કરીને, તેથી ઘરના ઉપકરણોને જાણવું જોઈએ કે તેને કેવી રીતે જવાબ આપવો. ઘરના રાઉટર પર 10.77.0.0/24 માટે સ્ટેટિક રૂટ ઉમેરો જેમાં 192.168.50.10 આગળનું હોપ છે, અને wg-quick AllowedIPsમાંથી શું કાઢે છે તે તેના સંદર્ભમાં વાંચો. એ રૂટ વિના, પૂર્ણ થયેલો હેન્ડશેક એવા એપ્લિકેશન જવાબો સાથે સહઅસ્તિત્વ ધરાવે છે જે કદી પહોંચતા નથી.

જો રાઉટર એ રૂટ લઈ જઈ શકે નહીં, તો દસ્તાવેજીકૃત પરત ડિઝાઇન પસંદ કરો. ચૂપચાપ NAT ઉમેરવું તેના બદલે તમે હમણાં લખેલા સ્રોત મોડેલને બદલે છે.

એક સેવાને મંજૂરી આપો, સબનેટને નહીં

ગેટવે પર IPv4 ફોરવર્ડિંગ સક્ષમ કરો અને ફાયરવોલની ત્રણ જવાબદારીઓ અલગ રાખો: WireGuard શ્રોતાને સ્વીકારવો, લેપટોપના સ્રોતને ફક્ત 192.168.50.20 પર ફોરવર્ડ કરવો, અને બાકીનું ઘરનું નેટવર્ક એ peer માટે બંધ રાખવું. નિયમોને પહેલેથી વપરાતા ફાયરવોલ મેનેજરમાં સંકલિત કરો, તેને ખાલી કરશો નહીં. આખા ઘરના પ્રીફિક્સ માટેનો રૂટ તેની અંદરના દરેક ઉપકરણના ઉપયોગની પરવાનગી નથી.

એપ્લિકેશનનું પોતાનું પ્રમાણીકરણ અને હોસ્ટ ફાયરવોલ અલગ દરવાજો છે. નિયમસમૂહ જે સેવાને મંજૂરી આપે છે તેને નામ આપો, જેથી આગળનો સમીક્ષક તેને ઇચ્છિત કાર્ય સામે ચકાસી શકે.

બહારથી પરીક્ષણ કરો, પછી સ્વચ્છ રીતે નિવૃત્ત કરો

પ્રોફાઇલ તેમના માલિક દ્વારા ઉપર લાવો, હેન્ડશેકની પુષ્ટિ કરો, પછી મંજૂર બહારના નેટવર્કથી ઇચ્છિત એપ્લિકેશન ચલાવો અને જવાબ તપાસો. એવી ઘરની સેવા અજમાવો જે નકારી રહેવી જોઈએ, કારણ કે પરવાનગી આપતો નિયમ ત્યાં સુધી અદૃશ્ય રહે છે જ્યાં સુધી કંઈક તેનો ઉપયોગ ન કરે. HTTPS માટે પ્રમાણપત્ર પરનું નામ વાપરો અને માન્યતા ચાલવા દો; કાચું સરનામું ટાઇપ કરીને ચેતવણી પસાર કરવાથી માર્ગ વિશે કંઈ સાબિત થતું નથી. PersistentKeepalive વૈકલ્પિક છે: નિષ્ક્રિય સમય પછી NAT સાથે બંધાયેલા peerને મદદ કરે છે, પણ તે ખૂટતો રૂટ કે પરવાનગીનું સુધારણ નથી.

ગતિશીલ જાહેર સરનામાને DNS અપડેટની જરૂર છે, અને બદલાવ પછી લેપટોપે તેનું એન્ડપોઇન્ટ ફરી ઉકેલવું પડે છે; નવા DNS રેકોર્ડ કન્ફિગર કરેલા એન્ડપોઇન્ટને ખસેડતા નથી. સંગ્રહિત અને સક્રિય કન્ફિગરેશનમાંથી તેનું peer દૂર કરીને લેપટોપ નિવૃત્ત કરો; ફક્ત લેપટોપ પ્રોફાઇલ કાઢી નાખવાથી ગેટવેની અધિકૃતિ રદ થતી નથી.

સંબંધિત લેખો