घरातील WireGuard बोगद्याला LAN मधून परतीचा मार्ग हवा

हँडशेक सोपा भाग आहे. राउटर आणि गेटवे यांच्यातील कामाची विभागणी ठरवा, लॅपटॉपचा स्रोत तसाच ठेवा आणि LAN ला परतीचा मार्ग द्या.

घरातील प्रवेश ही एक खाजगी सेवा आहे, दुसरे इंटरनेट आउटलेट नाही. WireGuard राउटरच्या मागील Linux बॉक्सवर संपतो, राउटर आपले विद्यमान काम टिकवतो, आणि लॅपटॉप बोगद्यातून फक्त घरचा प्रीफिक्स पाठवतो. कोणते उपकरण फॉरवर्ड करते आणि कोणते संपवते हा तो निर्णय आहे ज्यातून पुढील प्रत्येक नियम येतो. ही विभागणी चुकली तर तुम्ही जोडण्याचा विचारही न केलेला NAT डीबग कराल.

कोण फॉरवर्ड करते आणि कोण संपवते ते ठरवा

सार्वजनिक प्रवेश राउटरकडे आहे: तो UDP पॅकेट स्वीकारतो आणि Linux होस्टला देतो. त्या होस्टकडे WireGuard श्रोता आणि LAN मध्ये फॉरवर्ड करण्याचा निर्णय आहे. प्रत्यक्षात मॅपिंग UDP 51820 ला 192.168.50.10 वर पाठवते, आणि एप्लिकेशनचा स्वतःचा पोर्ट बंद राहतो. भूमिका वेगळ्या ठेवल्याने फायरवॉल छोटा राहतो.

इंटरफेस तयार करण्यापूर्वी पत्ता योजना लिहा. राउटर 192.168.50.1, गेटवे 192.168.50.10, सेवा 192.168.50.20, बोगदा 10.77.0.0/24 गेटवे .1 आणि लॅपटॉप .2 सह. बोगद्याची श्रेणी लॅपटॉप आधीच पोहोचत असलेल्या नेटवर्कशी ओव्हरलॅप होऊ नये, नाहीतर गंतव्ये संदिग्ध होतात. कॅरियर-ग्रेड NAT किंवा वरचा राउटर येणारा प्रवेश अडवू शकतो, आणि कोणतेही स्थानिक पोर्ट फॉरवर्डिंग ते सुधारत नाही.

की बदला, मग AllowedIPs चा आकार ठरवा

प्रत्येक टोकासाठी वेगळी की जोडी तयार करा आणि फक्त सार्वजनिक की पडताळलेल्या मार्गाने हलवा. गेटवेची peer नोंद फक्त लॅपटॉपच्या बोगदा स्रोताला परवानगी देते, कारण घरचे LAN लॅपटॉपच्या मागे नाही, गेटवेच्या मागे आहे. त्या नोंदीत LAN टाकल्यास तुम्ही न बांधलेली टोपोलॉजी वर्णन करता.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs म्हणजे घरचा प्रीफिक्स अधिक गेटवेचा बोगदा पत्ता, कधीही 0.0.0.0/0 नाही, त्यामुळे सामान्य ब्राउझिंग आपला स्थानिक मार्ग राखते. एकच कॉन्फिगरेशन मालक ठेवा, आणि तोच इंटरफेस दुसऱ्या नेटवर्क व्यवस्थापकाला कधीही जोडू नका.

परतीचा मार्ग हा तो भाग आहे जो लोक वगळतात

ही रचना लॅपटॉपचा 10.77.0.2 स्रोत गेटवे म्हणून मुखवटा न घालता ठेवते, म्हणून घरच्या उपकरणांना त्याला उत्तर कसे द्यायचे हे माहीत असले पाहिजे. घरच्या राउटरवर 10.77.0.0/24 साठी 192.168.50.10 पुढील हॉप म्हणून स्थिर मार्ग जोडा, आणि wg-quick AllowedIPs मधून काय काढतो ते त्याच्या संदर्भात वाचा. त्या मार्गाशिवाय, पूर्ण झालेला हँडशेक कधीही न येणाऱ्या एप्लिकेशन उत्तरांसोबत असतो.

राउटर तो मार्ग वाहू शकत नसेल तर दस्तऐवजीकृत परतीची रचना निवडा. त्याऐवजी शांतपणे NAT जोडल्याने तुम्ही नुकतीच लिहिलेली स्रोत मॉडेल बदलते.

एका सेवेला परवानगी द्या, सबनेटला नाही

गेटवेवर IPv4 फॉरवर्डिंग सुरू करा आणि फायरवॉलची तीन कर्तव्ये वेगळी ठेवा: WireGuard श्रोत्याला प्रवेश द्या, लॅपटॉपचा स्रोत फक्त 192.168.50.20 वर फॉरवर्ड करा, आणि घरच्या नेटवर्कचा उर्वरित भाग त्या peer साठी बंद ठेवा. नियम आधीच वापरात असलेल्या फायरवॉल व्यवस्थापकात एकत्र करा, तो रिकामा करू नका. संपूर्ण घरच्या प्रीफिक्ससाठीचा मार्ग म्हणजे आतल्या प्रत्येक उपकरणाच्या वापराची परवानगी नाही.

एप्लिकेशनचे स्वतःचे प्रमाणीकरण आणि होस्ट फायरवॉल हे वेगळे दरवाजे आहेत. नियमसंच ज्या सेवेला परवानगी देतो तिचे नाव द्या, जेणेकरून पुढील पुनरावलोकनकर्ता ती इच्छित कामाशी पडताळू शकेल.

बाहेरून चाचणी करा, मग स्वच्छपणे मागे घ्या

प्रोफाइल त्यांच्या मालकामार्फत वर आणा, हँडशेकची खात्री करा, मग मंजूर बाह्य नेटवर्कवरून इच्छित एप्लिकेशन चालवा आणि उत्तर तपासा. नाकारलेलीच राहिली पाहिजे अशी घरची सेवा वापरून पहा, कारण परवानगी देणारा नियम काहीतरी वापरेपर्यंत अदृश्य असतो. HTTPS साठी प्रमाणपत्रावरील नाव वापरा आणि पडताळणी चालू द्या; कच्चा पत्ता टाइप करून इशारा ओलांडणे मार्गाबद्दल काहीही सिद्ध करत नाही. PersistentKeepalive ऐच्छिक आहे: निष्क्रियतेनंतर NAT मध्ये अडकलेल्या peer ला मदत करते, पण तो न गहाळ मार्ग आहे न परवानगीची दुरुस्ती.

गतिशील सार्वजनिक पत्त्याला DNS अद्ययावत हवेत, आणि बदलानंतर लॅपटॉपला आपला एंडपॉइंट पुन्हा सोडवावा लागतो; नवीन DNS नोंदी कॉन्फिगर केलेला एंडपॉइंट हलवत नाहीत. साठवलेल्या आणि सक्रिय कॉन्फिगरेशनमधून तिचा peer काढून लॅपटॉप मागे घ्या; फक्त लॅपटॉप प्रोफाइल हटवल्याने गेटवेचे अधिकृतता रद्द होत नाही.

संबंधित लेख