Домашниот WireGuard тунел бара повратна рута од LAN

Пристапот до дома е една приватна услуга, а не втор излез на интернет. WireGuard завршува на Linux машина зад рутерот, рутерот ја задржува сегашната работа, а лаптопот праќа само домашниот префикс низ тунелот. Кој уред препраќа и кој завршува е одлуката од која произлегува секое следно правило. Ако ја погрешите оваа поделба, ќе го дебагирате NAT што никогаш не сте сакале да го додадете.

Одлучете кој препраќа и кој завршува

Јавниот влез го држи рутерот: тој го прима UDP пакетот и го предава на Linux домаќинот. Тој домаќин ги држи WireGuard слушачот и одлуката за препраќање во LAN. Во практиката мапирањето праќа UDP 51820 на 192.168.50.10, а сопствениот порт на апликацијата останува затворен. Одвојувањето на улогите го држи огнениот ѕид краток.

Напишете план за адреси пред да го создадете интерфејсот. Рутер 192.168.50.1, порта 192.168.50.10, услуга 192.168.50.20, тунел 10.77.0.0/24 со порта .1 и лаптоп .2. Опсегот на тунелот не смее да се преклопува со мрежа до која лаптопот веќе стигнува, инаку дестинациите стануваат двосмислени. NAT на ниво на оператор или рутер погоре може да го блокира влезниот пристап, и ниту едно локално препраќање на порта тоа не го поправа.

Разменете клучеви, потоа одредете ја големината на AllowedIPs

Создадете одделен пар клучеви за секој крај и пренесувајте само јавни клучеви преку проверен канал. Записот за peer на портата дозволува само изворот на тунелот на лаптопот, зашто домашниот LAN е зад портата, а не зад лаптопот. Ако го ставите LAN во тој запис, опишувате топологија што не сте ја изградиле.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs е домашниот префикс плус адресата на тунелот на портата, никогаш 0.0.0.0/0, така што вообичаеното прелистување ја задржува својата локална патека. Држете еден сопственик на конфигурацијата и никогаш не поврзувајте го истиот интерфејс со втор мрежен менаџер.

Повратната рута е делот што луѓето го прескокнуваат

Овој дизајн го зачувува изворот 10.77.0.2 на лаптопот наместо да го маскира како порта, па домашните уреди мора да знаат како да одговорат. Додадете статична рута на домашниот рутер за 10.77.0.0/24 со 192.168.50.10 како следен скок, и прочитајте што wg-quick изведува од AllowedIPs во неговиот референтен прирачник. Без таа рута, завршено ракување постои заедно со одговори на апликацијата што никогаш не пристигнуваат.

Ако рутерот не може да ја носи таа рута, изберете документиран дизајн на враќање. Тихото додавање NAT наместо тоа го менува моделот на извор што штотуку го запишавте.

Дозволете една услуга, не подмрежата

Вклучете препраќање на IPv4 на портата и држете три обврски на огнениот ѕид одвоени: пропуштете го WireGuard слушачот, препратете го изворот на лаптопот само на 192.168.50.20 и оставете го остатокот од домашната мрежа затворен за тој peer. Интегрирајте ги правилата во веќе користениот менаџер на огнен ѕид наместо да го испразните. Рута за целиот домашен префикс не е дозвола да се користи секој уред внатре.

Сопствената автентикација на апликацијата и огнениот ѕид на домаќинот се одделна порта. Именувајте ја услугата што ја дозволува множеството правила, за следниот прегледувач да може да ја провери наспроти предвидената задача.

Тестирајте однадвор, потоа изведете чисто

Подигнете ги профилите преку нивниот сопственик, потврдете го ракувањето, потоа испробајте ја предвидената апликација од одобрена надворешна мрежа и проверете го одговорот. Пробајте домашна услуга што мора да остане одбиена, зашто дозволувачко правило е невидливо додека нешто не го користи. За HTTPS користете го името од сертификатот и оставете валидацијата да работи; пишувањето на сировата адреса и преминувањето преку предупредувањето не докажува ништо за патеката. PersistentKeepalive е изборен: помага на peer врзан за NAT по период на мирување, но тоа сѐ уште не е маршрута што недостасува ниту поправка на дозвола.

Динамичната јавна адреса бара ажурирања на DNS, а лаптопот треба повторно да ја реши својата крајна точка по промена; новите DNS записи не поместуваат конфигурирана крајна точка. Изведете го лаптопот со отстранување на неговиот peer од зачуваната и активната конфигурација; бришењето само на профилот на лаптопот не ја отповикува авторизацијата на портата.