Terowong WireGuard rumah perlukan laluan balik dari LAN

Akses ke rumah ialah satu perkhidmatan peribadi, bukan pintu keluar internet kedua. WireGuard tamat pada mesin Linux di belakang penghala, penghala mengekalkan tugasnya, dan komputer riba hanya menghantar awalan rumah melalui terowong. Peranti mana yang memajukan dan mana yang menamatkan ialah keputusan yang menjadi asas setiap peraturan berikutnya. Jika pembahagian ini salah, anda akan menyahpepijat NAT yang tidak pernah anda mahu tambah.

Tentukan siapa yang memajukan dan siapa yang menamatkan

Penghala memiliki pintu masuk awam: ia menerima paket UDP dan menyerahkannya kepada hos Linux. Hos itu memiliki pendengar WireGuard dan keputusan pemajuan ke LAN. Dalam amalan pemetaan menghantar UDP 51820 ke 192.168.50.10, dan port aplikasi itu sendiri kekal tertutup. Mengasingkan peranan memastikan tembok api pendek.

Tulis pelan alamat sebelum mencipta antara muka. Penghala 192.168.50.1, get laluan 192.168.50.10, perkhidmatan 192.168.50.20, terowong 10.77.0.0/24 dengan get laluan .1 dan komputer riba .2. Julat terowong tidak boleh bertindih dengan rangkaian yang sudah dicapai komputer riba, jika tidak destinasi menjadi kabur. NAT gred pembawa atau penghala di atas boleh menyekat akses masuk, dan tiada pemajuan port setempat membaikinya.

Tukar kunci, kemudian tentukan saiz AllowedIPs

Cipta pasangan kunci berasingan bagi setiap hujung dan pindahkan hanya kunci awam melalui saluran yang disahkan. Entri peer get laluan hanya membenarkan sumber terowong komputer riba, kerana LAN rumah berada di belakang get laluan dan bukan di belakang komputer riba. Meletakkan LAN dalam entri itu menerangkan topologi yang tidak anda bina.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs ialah awalan rumah ditambah alamat terowong get laluan, tidak pernah 0.0.0.0/0, supaya pelayaran biasa mengekalkan laluan setempatnya. Kekalkan seorang pemilik konfigurasi, dan jangan sekali-kali sambungkan antara muka yang sama ke pengurus rangkaian kedua.

Laluan balik ialah bahagian yang orang langkau

Reka bentuk ini mengekalkan sumber 10.77.0.2 komputer riba dan tidak menyamarkannya sebagai get laluan, jadi peranti rumah mesti tahu cara membalasnya. Tambah laluan statik pada penghala rumah untuk 10.77.0.0/24 dengan 192.168.50.10 sebagai hop seterusnya, dan baca apa yang wg-quick terbitkan daripada AllowedIPs dalam rujukannya. Tanpa laluan itu, handshake yang selesai wujud bersama balasan aplikasi yang tidak pernah tiba.

Jika penghala tidak dapat membawa laluan itu, pilih reka bentuk balik yang didokumenkan. Menambah NAT secara senyap pula mengubah model sumber yang baru anda tulis.

Benarkan satu perkhidmatan, bukan subnet

Hidupkan pemajuan IPv4 pada get laluan dan kekalkan tiga tugas tembok api berasingan: benarkan pendengar WireGuard, majukan sumber komputer riba hanya ke 192.168.50.20, dan biarkan baki rangkaian rumah tertutup kepada peer itu. Integrasikan peraturan dengan pengurus tembok api yang sudah digunakan dan jangan kosongkannya. Laluan untuk seluruh awalan rumah bukan kebenaran menggunakan setiap peranti di dalamnya.

Pengesahan aplikasi itu sendiri dan tembok api hos ialah pintu berasingan. Namakan perkhidmatan yang dibenarkan oleh set peraturan, supaya penyemak seterusnya boleh membandingkannya dengan tugas yang dimaksudkan.

Uji dari luar, kemudian tarik balik dengan bersih

Naikkan profil melalui pemiliknya, sahkan handshake, kemudian jalankan aplikasi yang dimaksudkan dari rangkaian luar yang diluluskan dan semak balasannya. Cuba perkhidmatan rumah yang mesti kekal ditolak, kerana peraturan yang membenarkan tidak kelihatan sehingga ada yang menggunakannya. Untuk HTTPS, gunakan nama pada sijil dan biarkan pengesahan berjalan; menaip alamat mentah dan melangkaui amaran tidak membuktikan apa-apa tentang laluan. PersistentKeepalive adalah pilihan: ia membantu peer yang terikat NAT selepas masa diam, tetapi ia bukan laluan yang hilang atau pembetulan kebenaran.

Alamat awam dinamik memerlukan kemas kini DNS, dan komputer riba perlu menyelesaikan semula titik akhirnya selepas perubahan; rekod DNS baharu tidak menggerakkan titik akhir yang dikonfigurasi. Tarik balik komputer riba dengan membuang peer-nya daripada konfigurasi tersimpan dan aktif; memadam profil komputer riba sahaja tidak membatalkan kebenaran get laluan.