Hanyar WireGuard ta gida tana buƙatar hanyar dawowa daga LAN

Shiga gida sabis ne mai zaman kansa guda ɗaya, ba wata hanyar fita intanet ta biyu ba. WireGuard yana ƙarewa a kan akwatin Linux bayan na'urar tuƙi, na'urar tuƙi na riƙe aikinta na yanzu, kwamfutar tafi-da-gidanka kuma tana aika kawai prefix ɗin gida ta cikin rami. Wace na'ura ce ke turawa kuma wacece ke ƙarewa ita ce shawarar da kowace ƙa'ida ta gaba ke bi. Idan ka yi kuskure a wannan rabo, za ka gyara NAT da ba ka yi niyyar ƙarawa ba.

Yanke shawarar wanda ke turawa da wanda ke ƙarewa

Na'urar tuƙi ce ke da hanyar shiga ta jama'a: tana karɓar fakitin UDP kuma tana ba da shi ga mai masaukin Linux. Wannan mai masaukin ne ke da mai sauraron WireGuard da shawarar turawa cikin LAN. A aikace taswirar tana aika UDP 51820 zuwa 192.168.50.10, kuma tashar karɓar aikace-aikacen da kanta tana kasancewa a rufe. Raba ayyuka daban yana sa bangon wuta ya kasance gajere.

Rubuta shirin adireshi kafin ƙirƙirar fuska. Na'urar tuƙi 192.168.50.1, ƙofa 192.168.50.10, sabis 192.168.50.20, rami 10.77.0.0/24 tare da ƙofa .1 da kwamfutar tafi-da-gidanka .2. Yankin ramin bai kamata ya yi karo da cibiyar da kwamfutar tafi-da-gidanka ke isa ba, in ba haka ba wuraren da za a je suna zama marasa tabbas. NAT na matakin kamfani ko na'urar tuƙi ta sama na iya toshe shiga, kuma babu tura tashar gida da ke gyara hakan.

Musanya makullai, sannan auna AllowedIPs

Ƙirƙiri nau'in makulli dabam don kowane ƙarshe kuma ka motsa makullan jama'a kawai ta hanyar da aka tabbatar. Shigarwar peer ta ƙofar tana ba da izini ga tushen ramin kwamfutar tafi-da-gidanka kaɗai, domin LAN ɗin gida yana bayan ƙofar ba bayan kwamfutar ba. Sanya LAN a cikin wannan shigarwar yana bayyana tsarin da ba ka gina ba.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs shine prefix ɗin gida da adireshin ramin ƙofar, ba 0.0.0.0/0 ba har abada, don haka bincike na yau da kullum yana riƙe hanyarsa ta gida. Riƙe mai mallakar tsari guda ɗaya, kuma kada ka haɗa wannan fuska da wani mai kula da cibiyar na biyu.

Hanyar dawowa ita ce ɓangaren da mutane ke tsallakawa

Wannan tsari yana riƙe tushen 10.77.0.2 na kwamfutar tafi-da-gidanka maimakon rufe shi kamar ƙofa, don haka na'urorin gida dole ne su san yadda za su amsa. Ƙara hanyar tsaye a kan na'urar tuƙi ta gida don 10.77.0.0/24 tare da 192.168.50.10 a matsayin tsalle na gaba, kuma ka karanta abin da wg-quick ke fitarwa daga AllowedIPs a cikin bayaninsa. Idan babu wannan hanyar, musafaha da aka kammala yana tare da amsoshin aikace-aikacen da ba sa zuwa.

Idan na'urar tuƙi ba za ta iya ɗaukar wannan hanyar ba, zaɓi ingantaccen tsarin dawowa. Ƙara NAT a hankali a maimakon haka yana canza tsarin tushen da ka rubuta yanzu.

Ba da izinin sabis ɗaya, ba dukan cibiyar ba

Kunna tura IPv4 a kan ƙofar kuma ka riƙe ayyukan bangon wuta guda uku daban: karɓi mai sauraron WireGuard, tura tushen kwamfutar tafi-da-gidanka zuwa 192.168.50.20 kawai, kuma ka bar sauran cibiyar gida a rufe ga wannan peer. Haɗa ƙa'idodin da mai kula da bangon wutar da ake amfani da shi yanzu maimakon share shi. Hanya don dukan prefix ɗin gida ba izini ba ce don amfani da kowace na'ura a cikinsa.

Tabbatar da aikace-aikacen da kansa da bangon wutar mai masauki ƙofa ce daban. Ambaci sabis ɗin da tsarin ƙa'idodi ya ba da izini, domin mai bita na gaba ya iya kwatanta shi da aikin da aka nufa.

Gwada daga waje, sannan ka janye a tsaftace

Ka ɗaga bayanan martaba ta hanyar mai su, ka tabbatar da musafaha, sannan ka gwada aikace-aikacen da aka nufa daga cibiyar waje da aka yarda da ita kuma ka duba amsar. Ka gwada sabis ɗin gida wanda ya kamata ya kasance an hana shi, domin ƙa'idar da ta ba da izini ba a ganuwa har sai wani abu ya yi amfani da ita. Don HTTPS, yi amfani da sunan da ke kan takardar shaida kuma ka bar tabbatarwa ta gudana; buga adireshin danye da danna ta cikin gargaɗin ba ya tabbatar da komai game da hanyar. PersistentKeepalive na zaɓi ne: yana taimaka wa peer ɗin da ke cikin NAT bayan lokacin rashin aiki, amma ba hanyar da ta ɓace ba ce ko gyaran izini.

Adireshin jama'a mai canzawa yana buƙatar sabunta DNS, kuma kwamfutar tafi-da-gidanka tana buƙatar sake warware ƙarshenta bayan canji; sabbin rikodin DNS ba sa motsa ƙarshen da aka saita. Janye kwamfutar tafi-da-gidanka ta hanyar cire peer ɗinta daga tsarin da aka adana da mai aiki; share bayanin martabar kwamfutar kawai ba ya soke izinin ƙofar.