WireGuard-tunnill á heimilinu þarf bakleið frá LAN-inu

Aðgangur að heimilinu er ein einkaleg þjónusta, ekki annað nettúttak. WireGuard endar á Linux-vél bak við beininn, beininn heldur núverandi hlutverki sínu og fartölvan sendir aðeins heimilisforskeytið gegnum tunnilinn. Hvaða tæki millibýtir og hvað endar er sú ákvörðun sem hver síðari regla leiðir af. Ef þessi skipting fer úrskeiðis muntu kemba NAT sem þú ætlaðir aldrei að bæta við.

Ákveðið hver millibýtir og hver endar

Beinirinn á opinbera innganginn: hann tekur við UDP-pakkanum og sendir hann til Linux-hýsisins. Það hýsi á WireGuard-hlustaran og ákvörðunina um millibytingu inn í LAN-ið. Í reynd sendir vörpunin UDP 51820 til 192.168.50.10 og eigin port forritsins er lokað. Að halda hlutverkunum aðskildum heldur eldveggnum stuttum.

Skrifið vistfangadætlunina áður en þið búið til viðmótið. Beinir 192.168.50.1, gátt 192.168.50.10, þjónusta 192.168.50.20, tunnill 10.77.0.0/24 með gátt .1 og fartölvu .2. Tunnilsviðið má ekki skarast við net sem fartölvan nær þegar til, annars verða áfangastaðir tvíræðir. NAT hjá símafyrirtæki eða beinir ofar getur lokað á innkomandi aðgang og engin staðbundin portmiðlun lagar það.

Skiptið á lyklum og stillið síðan AllowedIPs

Búið til sérstakt lyklapar fyrir hvern enda og flytjið aðeins opinbera lykla um staðfesta rás. Peer-færsla gáttarinnar leyfir aðeins tunnilupptök fartölvunnar, því heimilis-LAN-ið er bak við gáttina en ekki bak við fartölvuna. Að setja LAN-ið í þá færslu lýsir grannfræði sem þið byggðuð ekki.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs er heimilisforskeytið auk tunnilvistfangs gáttarinnar, aldrei 0.0.0.0/0, svo venjuleg vafur heldur staðbundinni leið sinni. Haldið einum stillingareiganda og tengið aldrei sama viðmót við annan netstjóra.

Bakleiðin er sá hluti sem fólk sleppir

Þessi hönnun heldur upptökum fartölvunnar 10.77.0.2 í stað þess að gríma þær sem gáttina, svo heimilistæki verða að vita hvernig á að svara þeim. Bætið kyrrstæðri leið við á heimilobeininum fyrir 10.77.0.0/24 með 192.168.50.10 sem næsta hoppi og lesið hvað wg-quick leiðir af AllowedIPs í tilvísun sinni. Án þeirrar leiðar lifir lokið handaband samhliða forritssvörum sem berast aldrei.

Ef beinirinn getur ekki borið þá leið skuluð þið velja skjalfesta bakleið. Að bæta NAT hljóðlega breytir í staðinn upptökulíkaninu sem þið voruð að skrifa.

Leyfið eina þjónustu, ekki undirnetið

Virkjið IPv4-millibytingu á gáttinni og haldið þremur eldveggsskyldum aðskildum: hleypið WireGuard-hlustaranum inn, millibýtið upptökum fartölvunnar aðeins á 192.168.50.20 og látið afgang heimilisnetsins vera lokaðan fyrir þeim peer. Samþættið reglurnar við eldveggsstjórann sem þegar er notaður í stað þess að tæma hann. Leið fyrir allt heimilisforskeytið er ekki leyfi til að nota hvert tæki innan þess.

Eigin auðkenning forritsins og eldveggur hýsisins eru sér gátt. Nefnið þá þjónustu sem reglusettið leyfir, svo næsti yfirferðarmaður geti borið hana saman við fyrirhugað verk.

Prófið utandyra og fjarlægið síðan hreint

Ræsið sniðin gegnum eiganda þeirra, staðfestið handabandið og prófið síðan fyrirhugað forrit frá samþykktu ytra neti og athugið svarið. Reynið heimilisþjónustu sem á að vera áfram neituð, því leyfandi regla er ósýnileg þar til eitthvað notar hana. Fyrir HTTPS skuluð þið nota nafnið á vottorðinu og láta sannprófunina ganga; að slá inn hráa vistfangið og smella í gegnum viðvörunina sannar ekkert um leiðina. PersistentKeepalive er valfrjálst: það hjálpar peer sem er bundið NAT eftir aðgerðarleysi, en það er hvorki leið sem vantar né leiðrétting á heimild.

Kvikt opinbert vistfang þarf DNS-uppfærslur og fartölvan verður að leysa endapunkt sinn aftur eftir breytingu; nýjar DNS-færslur færa ekki stilltan endapunkt. Fjarlægið fartölvuna með því að taka peer hennar úr geymdri og virkri stillingu; að eyða aðeins fartölvuprófílnum afturkallar ekki heimild gáttarinnar.