En WireGuard-Tunnel doheem brauch eng Zréckroute vum LAN

Den Handshake ass den einfachen Deel. Entscheet d'Aarbechtsdeelung tëscht Router a Gateway, haalt d'Quell vum Laptop intakt a gitt dem LAN eng Zréckroute.

Den Zougang doheem ass eng eenzeg privat Service, net en zweete Internetausgang. WireGuard endegt op enger Linux-Këscht hannert dem Router, de Router behält seng aktuell Aufgab, an de Laptop schéckt just de Heemprefix duerch den Tunnel. Wéi eng Apparater weidergëtt an wéi eng endegt, ass d'Entscheedung aus där all weider Regel folgt. Maacht dir dës Deelung falsch, da wäert dir NAT debuggen, deen dir ni wëllt bäisetzen.

Entscheet wien weidergëtt a wien endegt

De Router huet den ëffentlechen Agang: hien hëlt den UDP-Pak u sech a gëtt en un den Linux-Host weider. Dee Host huet de WireGuard-Lauschterer an d'Entscheedung fir an de LAN weiderzeginn. An der Praxis schéckt d'Mapping UDP 51820 op 192.168.50.10, an de Port vun der Applikatioun bleift zou. Getrennt Rolle halen d'Firewall kuerz.

Schreift den Adressplang ier dir d'Interface erstellt. Router 192.168.50.1, Gateway 192.168.50.10, Service 192.168.50.20, Tunnel 10.77.0.0/24 mam Gateway .1 an dem Laptop .2. Den Tunnelberäich däerf sech net mat engem Netz iwwerschneiden, dat de Laptop schonn erreecht, soss ginn d'Ziler zweedeiteg. Carrier-Grade-NAT oder en ieweschte Router kann den Agang blockéieren, an eng lokal Portweiderleitung reparéiert dat net.

Tauscht Schlësselen aus, da moosst d'AllowedIPs

Erstellt en eegene Schlësselpaar pro Endpunkt a beweegt just ëffentlech Schlësselen iwwer e verifizéierte Kanal. Den Peer-Andrag vum Gateway erlaabt just d'Tunnelquell vum Laptop, well de Heem-LAN hannert dem Gateway läit an net hannert dem Laptop. D'LAN an deen Andrag ze setzen beschreift eng Topologie, déi dir net gebaut hutt.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs ass de Heemprefix plus d'Tunneladress vum Gateway, ni 0.0.0.0/0, sou datt normale Surfen säi lokale Wee behält. Halt een eenzegen Konfiguratiounseigentümer, a verbënnt ni déi selwecht Interface mat engem zweete Netzwierkmanager.

D'Zréckroute ass deen Deel, deen d'Leit iwwersprangen

Dësen Design hält d'Quell 10.77.0.2 vum Laptop, amplaz se als Gateway ze maskéieren, dofir mussen d'Heemapparater wëssen, wéi se äntweren. Setzt eng statesch Route um Heemrouter fir 10.77.0.0/24 mat 192.168.50.10 als nächsten Hop, a liest wat wg-quick aus AllowedIPs an senger Referenz ofleet. Ouni déi Route existéiert en ofgeschlossenen Handshake niewent Applikatiounsäntwerten, déi ni ukommen.

Wann de Router déi Route net kann droen, wielt en dokumentéierten Zréckdesign. NAT stëll bäizefügen ännert amplaz de Quellmodell, deen dir just opgeschriwwen hutt.

Erlaabt eng eenzeg Service, net d'Subnetz

Aktivéiert IPv4-Weiderleitung um Gateway a haalt dräi Firewallaufgaben getrennt: den WireGuard-Lauschterer erlaben, d'Quell vum Laptop just op 192.168.50.20 weiderleeden, an de Rescht vum Heemnetz fir dee Peer zou loossen. Integréiert d'Regelen an de Firewallmanager, deen schonn a Gebrauch ass, amplaz en ze läschen. Eng Route fir de ganzen Heemprefix ass keng Erlaabnis, all Apparat dran ze benotzen.

D'Authentifikatioun vun der Applikatioun an d'Host-Firewall sinn eng getrennte Paart. Nennt d'Service, déi de Reegelset erlaabt, sou datt den nächsten Iwwerpréiwer se géint déi virgesinn Aufgab kontrolléiere kann.

Test vun dobaussen, da réckelt et propper of

Hieft d'Profiler iwwer hire Proprietär erop, bestätegt den Handshake, dann test de virgesinn Applikatioun vun engem guttgeheescht externen Netz a kontrolléiert d'Äntwert. Probéiert eng Heemservice, déi missen ofgeleent bleiwen, well eng erlabend Regel onsichtbar ass, bis eppes se benotzt. Fir HTTPS benotzt den Numm um Zertifikat a loosst d'Validatioun lafen; déi réi Adress ze tippen an duerch d'Warnung ze klicken beweist näischt iwwer de Wee. PersistentKeepalive ass fakultativ: et hëlleft engem NAT-gebonnene Peer no Idle-Zäit, awer et ass keng fehlend Route an och keng Rechterkorrektur.

Eng dynamesch ëffentlech Adress brauch DNS-Aktualiséierungen, an de Laptop muss säin Endpunkt no enger Ännerung nei opléisen; nei DNS-Recordere réckelen keen agestellten Endpunkt. Réckelt de Laptop of, andeems dir säi Peer aus der gespäicherter an der aktiver Konfiguratioun huelen; just de Laptopprofil ze läschen huet d'Autorisatioun vum Gateway net zréckgezunn.

Ähnlech Artikelen