വീട്ടിലെ WireGuard ടണലിന് LAN-ൽ നിന്ന് തിരികെയുള്ള റൂട്ട് വേണം

വീട്ടിലേക്കുള്ള പ്രവേശനം ഒരു സ്വകാര്യ സേവനമാണ്, രണ്ടാമത്തെ ഇന്റർനെറ്റ് എക്സിറ്റ് അല്ല. WireGuard റൗട്ടറിന് പിന്നിലെ Linux ബോക്സിൽ അവസാനിക്കുന്നു, റൗട്ടർ തന്റെ നിലവിലെ ജോലി നിലനിർത്തുന്നു, ലാപ്ടോപ്പ് ടണലിലൂടെ വീട്ടിലെ പ്രിഫിക്സ് മാത്രം അയയ്ക്കുന്നു. ഏത് ഉപകരണം ഫോർവേഡ് ചെയ്യുന്നു, ഏതാണ് അവസാനിപ്പിക്കുന്നത് എന്നതാണ് തുടർന്നുള്ള ഓരോ നിയമവും പിന്തുടരുന്ന തീരുമാനം. ഈ വിഭജനം തെറ്റായാൽ, ചേർക്കാൻ ഉദ്ദേശിക്കാത്ത NAT ഡീബഗ് ചെയ്യേണ്ടിവരും.

ആര് ഫോർവേഡ് ചെയ്യുന്നു, ആര് അവസാനിപ്പിക്കുന്നു എന്ന് തീരുമാനിക്കുക

പൊതു പ്രവേശനം റൗട്ടറിന്റേതാണ്: അത് UDP പാക്കറ്റ് സ്വീകരിച്ച് Linux ഹോസ്റ്റിന് നൽകുന്നു. ആ ഹോസ്റ്റിനാണ് WireGuard ശ്രോതാവും LAN-ലേക്കുള്ള ഫോർവേഡിംഗ് തീരുമാനവും. പ്രായോഗികമായി മാപ്പിംഗ് UDP 51820 192.168.50.10-ലേക്ക് അയയ്ക്കുന്നു, ആപ്ലിക്കേഷന്റെ സ്വന്തം പോർട്ട് അടച്ചിട്ടിരിക്കുന്നു. റോളുകൾ വേർതിരിച്ചിടുന്നത് ഫയർവാളിനെ ചെറുതായി നിർത്തുന്നു.

ഇന്റർഫേസ് സൃഷ്ടിക്കുന്നതിന് മുൻപ് വിലാസ പ്ലാൻ എഴുതുക. റൗട്ടർ 192.168.50.1, ഗേറ്റ്വേ 192.168.50.10, സേവനം 192.168.50.20, ടണൽ 10.77.0.0/24 ഗേറ്റ്വേ .1, ലാപ്ടോപ്പ് .2. ടണൽ പരിധി ലാപ്ടോപ്പ് ഇതിനകം എത്തുന്ന നെറ്റ്വർക്കുമായി ഒരിക്കലും ഓവർലാപ്പ് ചെയ്യരുത്, അല്ലെങ്കിൽ ലക്ഷ്യസ്ഥാനങ്ങൾ അവ്യക്തമാകും. കാരിയർ-ഗ്രേഡ് NAT അല്ലെങ്കിൽ മുകളിലെ റൗട്ടർ ഇൻകമിംഗ് പ്രവേശനം തടയാം, ഒരു പ്രാദേശിക പോർട്ട് ഫോർവേഡിംഗും അത് ശരിയാക്കില്ല.

കീകൾ കൈമാറുക, തുടർന്ന് AllowedIPs-ന്റെ വലുപ്പം നിർണ്ണയിക്കുക

ഓരോ അറ്റത്തിനും പ്രത്യേക കീ ജോടി സൃഷ്ടിച്ച് പരിശോധിച്ച ചാനലിലൂടെ പൊതു കീകൾ മാത്രം കൊണ്ടുപോകുക. ഗേറ്റ്വേയിലെ peer എൻട്രി ലാപ്ടോപ്പിന്റെ ടണൽ ഉറവിടത്തിന് മാത്രം അനുമതി നൽകുന്നു, കാരണം വീട്ടിലെ LAN ലാപ്ടോപ്പിന് പിന്നിലല്ല, ഗേറ്റ്വേയ്ക്ക് പിന്നിലാണ്. ആ എൻട്രിയിൽ LAN ഇടുന്നത് നിങ്ങൾ നിർമ്മിക്കാത്ത ടോപ്പോളജിയെ വിവരിക്കുന്നു.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs വീട്ടിലെ പ്രിഫിക്സും ഗേറ്റ്വേയുടെ ടണൽ വിലാസവുമാണ്, ഒരിക്കലും 0.0.0.0/0 അല്ല, അതിനാൽ സാധാരണ ബ്രൗസിംഗ് സ്വന്തം പ്രാദേശിക പാത നിലനിർത്തുന്നു. ഒരു കോൺഫിഗറേഷൻ ഉടമയെ സൂക്ഷിക്കുക, ഒരിക്കലും അതേ ഇന്റർഫേസ് രണ്ടാമത്തെ നെറ്റ്വർക്ക് മാനേജറിലേക്ക് ബന്ധിപ്പിക്കരുത്.

തിരികെയുള്ള റൂട്ടാണ് ആളുകൾ ഒഴിവാക്കുന്ന ഭാഗം

ഈ രൂപകൽപ്പന ലാപ്ടോപ്പിന്റെ 10.77.0.2 ഉറവിടം ഗേറ്റ്വേയായി മറച്ചുവയ്ക്കാതെ സൂക്ഷിക്കുന്നു, അതിനാൽ വീട്ടിലെ ഉപകരണങ്ങൾ അതിന് എങ്ങനെ മറുപടി നൽകണം എന്ന് അറിയണം. വീട്ടിലെ റൗട്ടറിൽ 10.77.0.0/24-ന് 192.168.50.10 അടുത്ത ഹോപ്പായി ഒരു സ്റ്റാറ്റിക് റൂട്ട് ചേർക്കുക, കൂടാതെ wg-quick AllowedIPs-ൽ നിന്ന് എന്ത് ഉരുത്തിരിയ്ക്കുന്നു എന്ന് അതിന്റെ റഫറൻസിൽ വായിക്കുക. ആ റൂട്ട് ഇല്ലാതെ, പൂർത്തിയായ ഹാൻഡ്ഷേക്ക് ഒരിക്കലും എത്താത്ത ആപ്ലിക്കേഷൻ മറുപടികൾക്കൊപ്പം നിലനിൽക്കുന്നു.

റൗട്ടറിന് ആ റൂട്ട് വഹിക്കാൻ കഴിയില്ലെങ്കിൽ, രേഖപ്പെടുത്തിയ തിരിച്ചുവരവ് രൂപകൽപ്പന തിരഞ്ഞെടുക്കുക. പകരം നിശബ്ദമായി NAT ചേർക്കുന്നത് നിങ്ങൾ ഇപ്പോൾ എഴുതിയ ഉറവിട മാതൃക മാറ്റുന്നു.

ഒരു സേവനത്തിന് അനുമതി നൽകുക, സബ്നെറ്റിനല്ല

ഗേറ്റ്വേയിൽ IPv4 ഫോർവേഡിംഗ് പ്രവർത്തനക്ഷമമാക്കി ഫയർവാളിന്റെ മൂന്ന് ചുമതലകൾ വേർതിരിച്ച് സൂക്ഷിക്കുക: WireGuard ശ്രോതാവിനെ അനുവദിക്കുക, ലാപ്ടോപ്പിന്റെ ഉറവിടം 192.168.50.20-ലേക്ക് മാത്രം ഫോർവേഡ് ചെയ്യുക, വീട്ടിലെ നെറ്റ്വർക്കിന്റെ ബാക്കി ആ peer-ന് അടച്ചിടുക. നിയമങ്ങൾ ഇതിനകം ഉപയോഗിക്കുന്ന ഫയർവാൾ മാനേജറിൽ സംയോജിപ്പിക്കുക, അത് കാലിയാക്കരുത്. മുഴുവൻ വീട്ടിലെ പ്രിഫിക്സിലേക്കുള്ള റൂട്ട് അതിനുള്ളിലെ ഓരോ ഉപകരണവും ഉപയോഗിക്കാനുള്ള അനുമതിയല്ല.

ആപ്ലിക്കേഷന്റെ സ്വന്തം ആധികാരികതയും ഹോസ്റ്റ് ഫയർവാളും പ്രത്യേക കവാടമാണ്. നിയമസംഹിത അനുവദിക്കുന്ന സേവനത്തിന് പേര് നൽകുക, അടുത്ത അവലോകനക്കാരന് അത് ഉദ്ദേശിച്ച ജോലിയുമായി താരതമ്യം ചെയ്യാനാകും.

പുറത്തുനിന്ന് പരിശോധിക്കുക, തുടർന്ന് വ്യക്തമായി പിൻവലിക്കുക

പ്രൊഫൈലുകൾ അവയുടെ ഉടമ വഴി ഉയർത്തുക, ഹാൻഡ്ഷേക്ക് സ്ഥിരീകരിക്കുക, തുടർന്ന് അനുവദിച്ച പുറം നെറ്റ്വർക്കിൽ നിന്ന് ഉദ്ദേശിച്ച ആപ്ലിക്കേഷൻ പ്രവർത്തിപ്പിച്ച് മറുപടി പരിശോധിക്കുക. നിരസിക്കപ്പെട്ടിരിക്കേണ്ട വീട്ടിലെ സേവനവും പരീക്ഷിക്കുക, കാരണം അനുവദിക്കുന്ന നിയമം എന്തെങ്കിലും അത് ഉപയോഗിക്കുന്നതുവരെ അദൃശ്യമാണ്. HTTPS-ന് സർട്ടിഫിക്കറ്റിലെ പേര് ഉപയോഗിച്ച് സാധൂകരണം നടത്തുക; അസംസ്കൃത വിലാസം ടൈപ്പ് ചെയ്ത് മുന്നറിയിപ്പ് കടന്നുപോകുന്നത് പാതയെക്കുറിച്ച് ഒന്നും തെളിയിക്കുന്നില്ല. PersistentKeepalive ഓപ്ഷണലാണ്: നിഷ്ക്രിയതയ്ക്ക് ശേഷം NAT-ൽ കുടുങ്ങിയ peer-ന് സഹായിക്കുന്നു, പക്ഷേ അത് കാണാത്ത റൂട്ടോ അനുമതിയുടെ തിരുത്തലോ അല്ല.

ചലനാത്മക പൊതു വിലാസത്തിന് DNS അപ്ഡേറ്റുകൾ വേണം, മാറ്റത്തിന് ശേഷം ലാപ്ടോപ്പ് അതിന്റെ എൻഡ്പോയിന്റ് വീണ്ടും പരിഹരിക്കണം; പുതിയ DNS റെക്കോർഡുകൾ കോൺഫിഗർ ചെയ്ത എൻഡ്പോയിന്റ് നീക്കില്ല. സംഭരിച്ചതും സജീവവുമായ കോൺഫിഗറേഷനിൽ നിന്ന് അതിന്റെ peer നീക്കം ചെയ്ത് ലാപ്ടോപ്പ് പിൻവലിക്കുക; ലാപ്ടോപ്പ് പ്രൊഫൈൽ മാത്രം ഇല്ലാതാക്കുന്നത് ഗേറ്റ്വേയുടെ അധികാരം റദ്ദാക്കുന്നില്ല.