Mājas WireGuard tunelim vajadzīgs atgriešanās maršruts no LAN

Rokasspiediens ir vieglā daļa. Izlemiet darba sadalījumu starp maršrutētāju un vārteju, saglabājiet klēpjdatora avotu neskartu un dodiet LAN atgriešanās maršrutu.

Piekļuve mājām ir viens privāts pakalpojums, nevis otra interneta izeja. WireGuard beidzas Linux mašīnā aiz maršrutētāja, maršrutētājs saglabā savu pašreizējo uzdevumu, un klēpjdators pa tuneli sūta tikai mājas prefiksu. Kura ierīce pārsūta un kura beidz, ir lēmums, no kura izriet katrs nākamais noteikums. Ja šo sadalījumu sapratīsiet nepareizi, atkļūdosiet NAT, ko nekad neplānojāt pievienot.

Izlemiet, kas pārsūta un kas beidz

Publisko ieeju pārvalda maršrutētājs: tas pieņem UDP paketi un nodod to Linux saimniekam. Šis saimnieks pārvalda WireGuard klausītāju un lēmumu par pārsūtīšanu uz LAN. Praksē kartēšana sūta UDP 51820 uz 192.168.50.10, un pašas lietojumprogrammas ports paliek aizvērts. Lomu atdalīšana uztur ugunsmūri īsu.

Uzrakstiet adrešu plānu pirms saskarnes izveides. Maršrutētājs 192.168.50.1, vārteja 192.168.50.10, pakalpojums 192.168.50.20, tunelis 10.77.0.0/24 ar vārteju .1 un klēpjdatoru .2. Tuneļa diapazons nedrīkst pārklāties ar tīklu, kuru klēpjdators jau sasniedz, citādi galamērķi kļūst neviennozīmīgi. Operatora līmeņa NAT vai augstāks maršrutētājs var bloķēt ienākošo piekļuvi, un neviens vietējais porta pāradresēšana to nelabo.

Apmainieties ar atslēgām, pēc tam nosakiet AllowedIPs apjomu

Izveidojiet atsevišķu atslēgu pāri katram galam un pārvietojiet tikai publiskās atslēgas pa pārbaudītu kanālu. Vārtejas peer ieraksts atļauj tikai klēpjdatora tuneļa avotu, jo mājas LAN atrodas aiz vārtejas, nevis aiz klēpjdatora. LAN iekļaušana šajā ierakstā apraksta topoloģiju, ko neesat uzbūvējis.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs ir mājas prefikss plus vārtejas tuneļa adrese, nekad 0.0.0.0/0, tāpēc parastā pārlūkošana saglabā savu vietējo ceļu. Turiet vienu konfigurācijas īpašnieku un nekad nepieslēdziet to pašu saskarni otram tīkla pārvaldniekam.

Atgriešanās maršruts ir tā daļa, ko cilvēki izlaiž

Šis dizains saglabā klēpjdatora avotu 10.77.0.2, nevis maskē to kā vārteju, tāpēc mājas ierīcēm jāzina, kā atbildēt. Pievienojiet mājas maršrutētājā statisku maršrutu 10.77.0.0/24 ar 192.168.50.10 kā nākamo lēcienu, un izlasiet, ko wg-quick atvasina no AllowedIPs savā atsaucē. Bez šī maršruta pabeigts rokasspiediens pastāv līdzās lietojumprogrammas atbildēm, kas nekad neienāk.

Ja maršrutētājs nevar nest šo maršrutu, izvēlieties dokumentētu atgriešanās dizainu. Klusa NAT pievienošana tā vietā maina tikko pierakstīto avota modeli.

Atļaujiet vienu pakalpojumu, nevis apakštīklu

Ieslēdziet IPv4 pārsūtīšanu vārtejā un turiet trīs ugunsmūra pienākumus atsevišķi: ielaidiet WireGuard klausītāju, pārsūtiet klēpjdatora avotu tikai uz 192.168.50.20 un atstājiet pārējo mājas tīklu slēgtu šim peer. Integrējiet noteikumus jau lietotajā ugunsmūra pārvaldniekā, nevis iztīriet to. Maršruts visam mājas prefiksam nav atļauja izmantot katru ierīci tā iekšienē.

Pašas lietojumprogrammas autentifikācija un saimnieka ugunsmūris ir atsevišķi vārti. Nosauciet pakalpojumu, ko atļauj noteikumu kopa, lai nākamais pārskatītājs varētu to salīdzināt ar paredzēto uzdevumu.

Pārbaudiet no ārpuses un pēc tam tīri izņemiet

Paceliet profilus caur to īpašnieku, apstipriniet rokasspiedienu, pēc tam izmēģiniet paredzēto lietojumprogrammu no apstiprināta ārējā tīkla un pārbaudiet atbildi. Izmēģiniet mājas pakalpojumu, kam jāpaliek liegts, jo atļaujošs noteikums ir neredzams, līdz kaut kas to izmanto. HTTPS gadījumā izmantojiet sertifikātā esošo nosaukumu un ļaujiet validācijai darboties; neapstrādātas adreses ierakstīšana un brīdinājuma apiešana neko nepierāda par ceļu. PersistentKeepalive ir neobligāts: tas palīdz peer, kas piesaistīts NAT, pēc dīkstāves, bet tas nav trūkstošs maršruts un nav atļauju labojums.

Dinamiskai publiskai adresei vajadzīgi DNS atjauninājumi, un klēpjdatoram pēc izmaiņām ir no jauna jāatrisina savs galapunkts; jauni DNS ieraksti nepārvieto konfigurētu galapunktu. Izņemiet klēpjdatoru, noņemot tā peer no saglabātās un aktīvās konfigurācijas; tikai klēpjdatora profila dzēšana neatceļ vārtejas autorizāciju.

Saistītie raksti