Naminiam WireGuard tuneliui reikia grįžimo maršruto iš LAN

Rankos paspaudimas yra lengvoji dalis. Nuspręskite darbo pasidalijimą tarp maršrutizatoriaus ir sietuvo, palikite nešiojamojo kompiuterio šaltinį nepakeistą ir duokite LAN grįžimo maršrutą.

Prieiga prie namų yra viena privati paslauga, o ne antra interneto išėjimo vieta. WireGuard baigiasi Linux mašinoje už maršrutizatoriaus, maršrutizatorius išlaiko savo dabartinę užduotį, o nešiojamasis kompiuteris tuneliu siunčia tik namų prefiksą. Kuris įrenginys persiunčia, o kuris baigia, yra sprendimas, iš kurio kyla kiekviena vėlesnė taisyklė. Suklysite šiame pasidalijime ir derinsite NAT, kurio niekada neketinote pridėti.

Nuspręskite, kas persiunčia ir kas baigia

Viešą įėjimą turi maršrutizatorius: jis priima UDP paketą ir perduoda jį Linux mazgui. Tas mazgas turi WireGuard klausytoją ir sprendimą persiųsti į LAN. Praktiškai susiejimas siunčia UDP 51820 į 192.168.50.10, o pačios programos prievadas lieka uždarytas. Atskyrus vaidmenis, užkarda lieka trumpa.

Parašykite adresų planą prieš kurdami sąsają. Maršrutizatorius 192.168.50.1, sietuvas 192.168.50.10, paslauga 192.168.50.20, tunelis 10.77.0.0/24 su sietuvu .1 ir nešiojamuoju .2. Tunelio diapazonas neturi persidengti su tinklu, į kurį nešiojamasis jau patenka, kitaip paskirties vietos tampa dviprasmės. Operatoriaus lygio NAT arba aukštesnis maršrutizatorius gali užblokuoti įeinantį ryšį, ir joks vietinis prievado persiuntimas to nesutvarko.

Pasikeiskite raktus, tada nustatykite AllowedIPs dydį

Sukurkite atskirą raktų porą kiekvienam galui ir perduokite tik viešuosius raktus patikrintu kanalu. Sietuvo peer įrašas leidžia tik nešiojamojo kompiuterio tunelio šaltinį, nes namų LAN yra už sietuvo, o ne už nešiojamojo kompiuterio. Įrašius LAN į tą įrašą, aprašoma topologija, kurios nestatėte.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs yra namų prefiksas ir sietuvo tunelio adresas, niekada 0.0.0.0/0, todėl įprastas naršymas išlaiko savo vietinį kelią. Laikykitės vieno konfigūracijos savininko ir niekada neprijunkite tos pačios sąsajos prie antro tinklo tvarkyklės.

Grįžimo maršrutas yra ta dalis, kurią žmonės praleidžia

Šis sprendimas išlaiko nešiojamojo kompiuterio šaltinį 10.77.0.2, o ne maskuoja jį kaip sietuvą, todėl namų įrenginiai turi žinoti, kaip į jį atsakyti. Pridėkite statinį maršrutą namų maršrutizatoriuje 10.77.0.0/24 su 192.168.50.10 kaip kitu šuoliu, ir perskaitykite, ką wg-quick išveda iš AllowedIPs savo nuorodoje. Be to maršruto užbaigtas rankos paspaudimas egzistuoja šalia programos atsakymų, kurie niekada neatkeliauja.

Jei maršrutizatorius negali pernešti to maršruto, pasirinkite dokumentuotą grįžimo sprendimą. Tylus NAT pridėjimas vietoj to pakeičia ką tik užrašytą šaltinio modelį.

Leiskite vieną paslaugą, o ne potinklį

Įjunkite IPv4 persiuntimą sietuve ir laikykite tris užkardos pareigas atskirai: įleiskite WireGuard klausytoją, persiųskite nešiojamojo kompiuterio šaltinį tik į 192.168.50.20 ir palikite likusį namų tinklą uždarytą tam peer. Integruokite taisykles į jau naudojamą užkardos tvarkyklę, o ne išvalykite ją. Maršrutas visam namų prefiksui nėra leidimas naudoti kiekvieną įrenginį jo viduje.

Pačios programos autentifikavimas ir mazgo užkarda yra atskiri vartai. Įvardykite paslaugą, kurią leidžia taisyklių rinkinys, kad kitas peržiūrėtojas galėtų palyginti ją su numatyta užduotimi.

Išbandykite iš išorės, tada švariai išimkite

Pakelkite profilius per jų savininką, patvirtinkite rankos paspaudimą, tada išbandykite numatytą programą iš patvirtinto išorinio tinklo ir patikrinkite atsakymą. Pabandykite namų paslaugą, kuri turi likti atmesta, nes leidžianti taisyklė yra nematoma, kol kas nors ja nesinaudoja. HTTPS atveju naudokite sertifikate esantį vardą ir leiskite validacijai veikti; neapdoroto adreso įvedimas ir perspėjimo praleidimas nieko neįrodo apie kelią. PersistentKeepalive yra neprivalomas: jis padeda prie NAT pririštam peer po neveiklumo, bet tai nėra trūkstamas maršrutas ar teisių taisymas.

Dinaminis viešas adresas reikalauja DNS atnaujinimų, o nešiojamasis kompiuteris po pakeitimo turi iš naujo išspręsti savo galinį tašką; nauji DNS įrašai neperkelia sukonfigūruoto galinio taško. Išimkite nešiojamąjį kompiuterį pašalindami jo peer iš išsaugotos ir aktyvios konfigūracijos; vien nešiojamojo kompiuterio profilio ištrynimas neatšaukia sietuvo autorizacijos.

Susiję straipsniai