Гэрийн WireGuard туннельд LAN-аас буцах зам хэрэгтэй

Гэрт нэвтрэх нь нэг хувийн үйлчилгээ бөгөөд интернетийн хоёр дахь гарц биш. WireGuard роутерын ард байрлах Linux машин дээр дуусдаг, роутер одоогийн ажлаа хадгална, зөөврийн компьютер туннелээр зөвхөн гэрийн префиксийг илгээдэг. Аль төхөөрөмж дамжуулж, аль нь дуусгах нь дараагийн бүх дүрэм үүнээс гарах шийдвэр юм. Энэ хуваарилалтыг буруу хийвэл нэмэхээр төлөвлөөгүй NAT-ыг засах болно.

Хэн дамжуулж, хэн дуусгахыг шийдээрэй

Нийтийн орох хаалгыг роутер эзэмшинэ: тэр UDP пакетыг хүлээн авч Linux хост руу дамжуулна. Тэр хост WireGuard сонсогч болон LAN руу дамжуулах шийдвэрийг эзэмшинэ. Практикт зураглал UDP 51820-ыг 192.168.50.10 руу илгээдэг, программын өөрийн порт хаалттай хэвээр байна. Үүргийг тусгаарлах нь галт ханыг богино байлгана.

Интерфэйс үүсгэхээс өмнө хаягийн төлөвлөгөөг бичээрэй. Роутер 192.168.50.1, гарц 192.168.50.10, үйлчилгээ 192.168.50.20, туннель 10.77.0.0/24, гарц .1, зөөврийн компьютер .2. Туннелийн хүрээ нь зөөврийн компьютер аль хэдийн хүрдэг сүлжээтэй давхцах ёсгүй, эс бөгөөс чиглэлүүд хоёр утгатай болно. Операторын түвшний NAT эсвэл дээд роутер орж ирэх хандалтыг хааж болно, ямар ч локал порт дамжуулалт үүнийг засахгүй.

Түлхүүр солилцож, дараа нь AllowedIPs-ийн хэмжээг тодорхойлоорой

Төгсгөл бүрд тусдаа түлхүүрийн хос үүсгэж, зөвхөн нийтийн түлхүүрийг баталгаажсан сувгаар дамжуулаарай. Гарцын peer бичлэг зөвхөн зөөврийн компьютерийн туннелийн эх сурвалжийг зөвшөөрнө, учир нь гэрийн LAN нь зөөврийн компьютерийн ард биш, гарцын ард байдаг. LAN-ыг тэр бичлэгт хийвэл таны бариагүй топологийг дүрсэлнэ.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs нь гэрийн префикс нэмэх гарцын туннелийн хаяг бөгөөд хэзээ ч 0.0.0.0/0 биш, тиймээс энгийн шүлжлэл өөрийн локал замаа хадгална. Нэг тохиргооны эзэмшигчтэй байж, ижил интерфэйсийг хоёр дахь сүлжээний менежерт хэзээ ч холбохгүй байгаарай.

Буцах зам бол хүмүүсийн алгасдаг хэсэг

Энэ зохион байгуулалт зөөврийн компьютерийн 10.77.0.2 эх сурвалжийг гарц гэж далдлахгүй хадгалдаг тул гэрийн төхөөрөмжүүд түүнд хэрхэн хариулахаа мэдэх ёстой. Гэрийн роутер дээр 10.77.0.0/24-ийн статик зам нэмж, дараагийн үсрэлтийг 192.168.50.10 болгоод, wg-quick AllowedIPs-ээс юу гаргадгийг түүний лавлагаанд уншаарай. Тэр замгүй бол дууссан гар барилт хэзээ ч ирэхгүй програмын хариутай зэрэгцэн оршино.

Роутер тэр замыг дааж чадахгүй бол баримтжуулсан буцах зохион байгуулалтыг сонгоорой. Үүний оронд чимээгүй NAT нэмэх нь саяхан бичсэн эх сурвалжийн загварыг өөрчилнө.

Нэг үйлчилгээг зөвшөөрөөрэй, дэд сүлжээг биш

Гарц дээр IPv4 дамжуулалтыг идэвхжүүлж, галт ханын гурван үүргийг тусгаарлаарай: WireGuard сонсогчийг нэвтрүүлэх, зөөврийн компьютерийн эх сурвалжийг зөвхөн 192.168.50.20 руу дамжуулах, гэрийн сүлжээний үлдсэнийг тэр peer-д хаалттай үлдээх. Дүрмүүдийг аль хэдийн хэрэглэж буй галт ханын менежерт нэгтгээрэй, хоослох хэрэггүй. Бүх гэрийн префиксэд зориулсан зам нь түүний доторх бүх төхөөрөмжийг ашиглах зөвшөөрөл биш.

Програмын өөрийн баталгаажуулалт ба хостын галт хана нь тусдаа хаалга. Дүрмийн багц зөвшөөрдөг үйлчилгээг нэрлээрэй, дараагийн хянагч түүнийг зорьсон ажилтай тулгаж болно.

Гаднаас туршиж, дараа нь цэвэрхэн гаргаарай

Профайлуудыг эзэмшигчээр нь өргөж, гар барилтыг баталгаажуулаад, зорьсон програмыг зөвшөөрөгдсөн гадаад сүлжээнээс ажиллуулж хариуг шалгаарай. Татгалзсан хэвээр байх ёстой гэрийн үйлчилгээг ч туршаарай, учир нь зөвшөөрдөг дүрэм ямар нэгэн зүйл ашиглах хүртэл үл үзэгдэнэ. HTTPS-ийн хувьд гэрчилгээ дээрх нэрийг ашиглаж, баталгаажуулалтыг ажиллуулаарай; түүхий хаягийг бичээд анхааруулгыг давах нь замын талаар юу ч батлахгүй. PersistentKeepalive нь сонголтоор: NAT-д хүлэгдсэн peer-д чөлөөт хугацааны дараа тусална, гэхдээ энэ нь дутуу зам ч биш, зөвшөөрлийн засвар ч биш.

Динамик нийтийн хаяг DNS шинэчлэлт шаарддаг ба зөөврийн компьютер өөрчлөлтийн дараа төгсгөлийн цэгээ дахин шийдэх ёстой; шинэ DNS бичлэгүүд тохируулсан төгсгөлийн цэгийг зөөхгүй. Зөөврийн компьютерийг хадгалсан ба идэвхтэй тохиргооноос peer-ыг нь хасаж гаргаарай; зөвхөн зөөврийн компьютерийн профайлыг устгах нь гарцын зөвшөөрлийг цуцлахгүй.