Tunnel WireGuard rumah memerlukan rute balik dari LAN

Akses rumah adalah satu layanan privat, bukan pintu keluar internet kedua. WireGuard berakhir di mesin Linux di belakang router, router tetap menjalankan tugasnya, dan laptop hanya mengirim prefiks rumah melalui tunnel. Perangkat mana yang meneruskan dan mana yang mengakhiri adalah keputusan yang menjadi dasar setiap aturan berikutnya. Salah membagi peran ini, Anda akan men-debug NAT yang tidak pernah ingin ditambahkan.

Tentukan siapa yang meneruskan dan siapa yang mengakhiri

Router memiliki pintu masuk publik: ia menerima paket UDP dan meneruskannya ke host Linux. Host itu memiliki listener WireGuard dan keputusan penerusan ke LAN. Dalam praktiknya pemetaan mengirim UDP 51820 ke 192.168.50.10, dan port aplikasi sendiri tetap tertutup. Memisahkan peran menjaga firewall tetap singkat.

Tulis rencana alamat sebelum membuat antarmuka. Router 192.168.50.1, gateway 192.168.50.10, layanan 192.168.50.20, tunnel 10.77.0.0/24 dengan gateway .1 dan laptop .2. Rentang tunnel tidak boleh tumpang tindih dengan jaringan yang sudah dicapai laptop, atau tujuan menjadi ambigu. NAT tingkat operator atau router di atasnya dapat memblokir akses masuk, dan tidak ada penerusan port lokal yang memperbaikinya.

Tukar kunci, lalu tentukan ukuran AllowedIPs

Buat pasangan kunci terpisah per endpoint dan pindahkan hanya kunci publik melalui saluran yang terverifikasi. Entri peer di gateway hanya mengizinkan sumber tunnel laptop, karena LAN rumah berada di belakang gateway, bukan di belakang laptop. Menaruh LAN di entri itu menjelaskan topologi yang tidak Anda bangun.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs adalah prefiks rumah ditambah alamat tunnel gateway, tidak pernah 0.0.0.0/0, sehingga penjelajahan biasa tetap memakai jalur lokalnya. Pertahankan satu pemilik konfigurasi, dan jangan pernah memasang antarmuka yang sama ke manajer jaringan kedua.

Rute balik adalah bagian yang orang lewatkan

Desain ini mempertahankan sumber 10.77.0.2 milik laptop alih-alih menyamarkannya sebagai gateway, jadi perangkat rumah harus tahu cara membalasnya. Tambahkan rute statis di router rumah untuk 10.77.0.0/24 dengan 192.168.50.10 sebagai hop berikutnya, dan baca apa yang diturunkan wg-quick dari AllowedIPs di referensinya. Tanpa rute itu, handshake yang selesai hidup berdampingan dengan balasan aplikasi yang tidak pernah tiba.

Jika router tidak dapat membawa rute itu, pilih desain balik yang terdokumentasi. Menambahkan NAT diam-diam malah mengubah model sumber yang baru saja Anda tulis.

Izinkan satu layanan, bukan subnet

Aktifkan penerusan IPv4 di gateway dan jaga tiga tugas firewall tetap terpisah: izinkan listener WireGuard, teruskan sumber laptop hanya ke 192.168.50.20, dan biarkan sisa jaringan rumah tertutup bagi peer itu. Integrasikan aturan ke manajer firewall yang sudah dipakai alih-alih mengosongkannya. Rute untuk seluruh prefiks rumah bukan izin memakai setiap perangkat di dalamnya.

Autentikasi aplikasi itu sendiri dan firewall host adalah gerbang terpisah. Sebutkan layanan yang diizinkan oleh kumpulan aturan, agar peninjau berikutnya dapat memeriksanya terhadap tugas yang dimaksud.

Uji dari luar, lalu pensiunkan dengan bersih

Nyalakan profil melalui pemiliknya, konfirmasi handshake, lalu jalankan aplikasi yang dimaksud dari jaringan luar yang disetujui dan periksa balasannya. Coba layanan rumah yang harus tetap ditolak, karena aturan yang permisif tidak terlihat sampai ada yang memakainya. Untuk HTTPS, gunakan nama pada sertifikat dan biarkan validasi berjalan; mengetik alamat mentah dan melewati peringatan tidak membuktikan apa pun tentang jalurnya. PersistentKeepalive bersifat opsional: ia membantu peer yang terikat NAT setelah waktu diam, tetapi bukan rute yang hilang atau perbaikan izin.

Alamat publik dinamis memerlukan pembaruan DNS, dan laptop harus menyelesaikan ulang endpoint-nya setelah perubahan; catatan DNS baru tidak memindahkan endpoint yang dikonfigurasi. Pensiunkan laptop dengan menghapus peer-nya dari konfigurasi tersimpan dan aktif; menghapus profil laptop saja tidak mencabut otorisasi gateway.