Az otthoni WireGuard-alagútnak visszaút kell a LAN felől

A kézfogás a könnyű rész. Döntse el a munka felosztását az útválasztó és az átjáró között, tartsa érintetlenül a laptop forrását, és adjon a LAN-nak visszautat.

Az otthoni hozzáférés egyetlen privát szolgáltatás, nem második internetkijárat. A WireGuard egy Linux-gépen végződik az útválasztó mögött, az útválasztó megtartja jelenlegi feladatát, a laptop pedig csak az otthoni előtagot küldi át az alagúton. Hogy melyik eszköz továbbít és melyik végződik, az a döntés, amelyből minden későbbi szabály következik. Ha ezt a felosztást elrontja, olyan NAT-ot fog hibakeresni, amelyet soha nem akart hozzáadni.

Döntse el, ki továbbít és ki végződik

A nyilvános belépés az útválasztóé: átveszi az UDP-csomagot, és továbbadja a Linux-gazdának. Az a gazda birtokolja a WireGuard-figyelőt és a LAN felé továbbítás döntését. A gyakorlatban a leképezés UDP 51820-at küld a 192.168.50.10 címre, az alkalmazás saját portja pedig zárva marad. A szerepek szétválasztása rövidre fogja a tűzfalat.

Írja meg a címtervet az interfész létrehozása előtt. Útválasztó 192.168.50.1, átjáró 192.168.50.10, szolgáltatás 192.168.50.20, alagút 10.77.0.0/24 a .1 átjáróval és a .2 laptoppal. Az alagút tartománya nem fedheti át azt a hálózatot, amelyet a laptop már elér, különben a célok kétértelművé válnak. A szolgáltatói szintű NAT vagy egy felsőbb útválasztó blokkolhatja a bejövő hozzáférést, és ezt semmilyen helyi porttovábbítás nem javítja.

Cseréljen kulcsokat, aztán méretezze az AllowedIPs-t

Hozzon létre külön kulcspárt minden végponthoz, és csak nyilvános kulcsokat mozgasson ellenőrzött csatornán. Az átjáró peer-bejegyzése csak a laptop alagútforrását engedi, mert az otthoni LAN az átjáró mögött van, nem a laptop mögött. Ha a LAN-t ebbe a bejegyzésbe teszi, olyan topológiát ír le, amelyet nem épített meg.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

Az AllowedIPs az otthoni előtag plusz az átjáró alagútcíme, soha nem 0.0.0.0/0, így a szokásos böngészés megtartja helyi útját. Tartson egyetlen konfigurációs gazdát, és soha ne csatlakoztassa ugyanazt az interfészt egy második hálózatkezelőhöz.

A visszaút az a rész, amelyet az emberek kihagynak

Ez a kialakítás megtartja a laptop 10.77.0.2 forrását ahelyett, hogy átjáróként maszkolná, ezért az otthoni eszközöknek tudniuk kell, hogyan válaszoljanak rá. Adjon statikus útvonalat az otthoni útválasztón a 10.77.0.0/24-hez, következő ugrásként 192.168.50.10-zel, és olvassa el, mit vezet le a wg-quick az AllowedIPs-ből a saját referenciájában. E nélkül az útvonal nélkül egy befejezett kézfogás olyan alkalmazásválaszokkal él együtt, amelyek soha nem érkeznek meg.

Ha az útválasztó nem tudja vinni ezt az útvonalat, válasszon dokumentált visszaépítést. A NAT csendes hozzáadása helyette megváltoztatja az éppen leírt forrásmodellt.

Egy szolgáltatást engedjen, ne az alhálózatot

Kapcsolja be az IPv4-továbbítást az átjárón, és tartsa három külön tűzfalfeladattal: engedje át a WireGuard-figyelőt, továbbítsa a laptop forrását csak a 192.168.50.20-ra, és hagyja az otthoni hálózat többi részét zárva az adott peer előtt. Integrálja a szabályokat a már használt tűzfal-kezelőbe ahelyett, hogy kiürítené. Az egész otthoni előtagra szóló útvonal nem engedély a benne lévő minden eszköz használatára.

Az alkalmazás saját hitelesítése és a gazda tűzfala külön kapu. Nevezze meg a szolgáltatást, amelyet a szabálykészlet enged, hogy a következő ellenőr összevethessen a szándékolt feladattal.

Teszteljen kívülről, majd vonja ki tisztán

Hozza fel a profilokat a tulajdonosukon keresztül, erősítse meg a kézfogást, majd gyakorolja a szándékolt alkalmazást jóváhagyott külső hálózatról, és ellenőrizze a választ. Próbáljon ki egy otthoni szolgáltatást, amelynek megtagadottnak kell maradnia, mert az engedékeny szabály láthatatlan, amíg valami nem használja. HTTPS esetén a tanúsítványban szereplő nevet használja, és hagyja lefutni az érvényesítést; a nyers cím beírása és a figyelmeztetés átkattintása semmit sem bizonyít az útvonalról. A PersistentKeepalive nem kötelező: segít a NAT-hoz kötött peernek tétlenség után, de nem hiányzó útvonal és nem engedélyjavítás.

A dinamikus nyilvános cím DNS-frissítéseket igényel, és a laptopnak változás után újra fel kell oldania a végpontját; az új DNS-rekordok nem mozgatják a beállított végpontot. Vonja ki a laptopot úgy, hogy eltávolítja a peerjét a tárolt és az aktív konfigurációból; a laptopprofil törlése önmagában nem vonja vissza az átjáró engedélyezését.

Kapcsolódó cikkek