Үйдөгү WireGuard туннелине LAN тараптан кайтуу маршруту керек

Үйгө кирүү — бир жеке кызмат, экинчи интернет чыгуучу жер эмес. WireGuard роутердин артындагы Linux машинасында бүтөт, роутер учурдагы ишин сактайт, ал эми ноутбук туннелден үй префиксин гана жөнөтөт. Кайсы түзмөк өткөрүп, кайсынысы бүтөт — кийинки ар бир эреже ушундан келип чыккан чечим. Бул бөлүштүрүүнү туура эмес кылсаңыз, кошууну ойлобогон NATты оңдойсуз.

Ким өткөрөт жана ким бүтөт экенин чечиңиз

Ачык кирүү роутерге таандык: ал UDP пакетин кабыл алып, Linux хостко берет. Ошол хост WireGuard угуучусун жана LANга өткөрүү чечимин кармайт. Иш жүзүндө карталоо UDP 51820ны 192.168.50.10го жөнөтөт, ал эми колдонмонун өз порту жабык бойдон калат. Ролдорду бөлүк кармоо файрволду кыска кармайт.

Интерфейсти түзүүдөн мурун дареги planын жазыңыз. Роутер 192.168.50.1, шлюз 192.168.50.10, кызмат 192.168.50.20, туннель 10.77.0.0/24, шлюз .1 жана ноутбук .2. Туннелдин диапазону ноутбук мурун эле жеткен тармак менен кабатталбашы керек, антпесе багыттар эки маанилүү болуп калат. Оператор деңгээлиндеги NAT же жогорку роутер кирүүчү жеткиликти тосот, жана эч бир жергиликтүү порт өткөрүү муну оңдобойт.

Ачкычтарды алмаштырыңыз, анан AllowedIPs өлчөмүн белгилеңиз

Ар бир учун өзүнчө ачкыч жупун түзүңүз жана тек текшерилген канал аркылуу ачык ачкычтарды жеткириңиз. Шлюздун peer жазуусу ноутбуктун туннель булагын гана уруксат кылат, анткени үй LANы ноутбуктун эмес, шлюздун артында. LANды ошол жазууга коюу — сиз курбаган топологияны сүрөттөө.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs — үй префикси кошулган шлюздун туннель дареги, эч качан 0.0.0.0/0 эмес, ошондуктан кадимки серептөө өзүнүн жергиликтүү жолун сактайт. Бир конфигурация ээсин кармаңыз жана ошол интерфейсти экинчи тармак менеджерине эч качан туташтырбаңыз.

Кайтуу маршруту — адамдар өткөрүп жибере турган бөлүк

Бул долбоор ноутбуктун 10.77.0.2 булагын шлюз катары жашырбай сактайт, ошондуктан үй түзмөктөрү ага кантип жооп берүүнү билиши керек. Үй роутерине 10.77.0.0/24 үчүн кийинки секирүү 192.168.50.10 болгон статикалык маршрут кошуңуз жана wg-quick AllowedIPsтен эмнени чыгарарын анын маалымдамасында окуңуз. Ошол маршрут жок болсо, бүткөн кол алышуу эч качан келбеген колдонмо жооптору менен катар жашайт.

Эгер роутер бул маршрутту көтөрө албаса, документтелген кайтуу долбоорун тандаңыз. Үнсүз NAT кошуу ордуна жаңы жазган булак моделин өзгөртөт.

Бир кызматка уруксат бериңиз, кошумча тармакка эмес

Шлюзде IPv4 өткөрүүнү күйгүзүңүз жана файрволдун үч милдетин бөлүк кармаңыз: WireGuard угуучусун өткөрүңүз, ноутбуктун булагын 192.168.50.20га гана өткөрүңүз жана үй тармагынын калганын ошол peer үчүн жабык калтырыңыз. Эрежелерди колдонулуп жаткан файрвол менеджерине бириктириңиз, аны тазалабаңыз. Бүткүл үй префикси үчүн маршрут анын ичиндеги ар бир түзмөктү колдонууга уруксат эмес.

Колдонмонун өз аутентификациясы жана хост файрволу өзүнчө дарбаза. Эрежелер жыйындысы уруксат берген кызматты атаңыз, кийинки текшерүүчү аны көздөлгөн тапшырма менен салыштыра алсын.

Сырттан сынап көрүңүз, анан таза чыгарыңыз

Профилдерди ээси аркылуу көтөрүңүз, кол алышууну ырастаңыз, анан көздөлгөн колдонмону уруксат берилген сырткы тармактан иштетип, жоопту текшериңиз. Уруксат эмес бойдон калышы керек болгон үй кызматын да байкап көрүңүз, анткени уруксат берүүчү эреже аны бир нерсе колдонмого чейин көрүнбөйт. HTTPS үчүн сертификаттагы атты колдонуп, текшерүүнү жүргүзүңүз; чийки даректи терип эскертүүдөн өтүү жол жөнүндө эч нерсени далилдебейт. PersistentKeepalive милдеттүү эмес: бош тургандан кийин NATка байланган peerге жардам берет, бирок ал жетишпеген маршрут да, уруксатты оңдоо да эмес.

Динамикалык ачык дарек DNS жаңыртууларын талап кылат, ал эми ноутбук өзгөрүүдөн кийин өзүнүн акыркы чекитин кайра чечиши керек; жаңы DNS жазуулары конфигурацияланган акыркы чекитти жылдырбайт. Ноутбукту сакталган жана активдүү конфигурациядан анын peerин алып салуу менен чыгарыңыз; ноутбук профилин гана жок кылуу шлюздун уруксатын жокко чыгарбайт.