Tunnel WireGuard tad-dar jeħtieġ rotta lura mill-LAN

Il-handshake hija l-parti faċli. Iddeċiedi t-tqassim tax-xogħol bejn ir-router u l-gateway, żomm is-sors tal-laptop intatt u agħti lill-LAN rotta lura.

L-aċċess għad-dar huwa servizz privat wieħed, mhux it-tieni ħruġ tal-internet. WireGuard jintemm fuq magna Linux wara r-router, ir-router iżomm il-ħidma tiegħu, u l-laptop jibgħat biss il-prefiss tad-dar mit-tunnel. Liema apparat jgħaddi 'l quddiem u liema jintemm hija d-deċiżjoni li minnha tinħareġ kull regola oħra. Jekk dan it-tqassim ikun ħażin, tkun qed tiddibbugja NAT li qatt ma ħsibt li żżid.

Iddeċiedi min jgħaddi 'l quddiem u min jintemm

Ir-router għandu d-daħla pubblika: jilqa' l-pakkett UDP u jgħaddih lill-host Linux. Dak il-host għandu s-semmiegħ WireGuard u d-deċiżjoni tat-tqassim fil-LAN. Fil-prattika l-immappjar jibgħat UDP 51820 lil 192.168.50.10, u l-port tal-applikazzjoni stess jibqa' magħluq. L-għoti ta' rwoli separati jżomm il-firewall qasir.

Ikteb il-pjan tal-indirizzi qabel toħloq l-interface. Router 192.168.50.1, gateway 192.168.50.10, servizz 192.168.50.20, tunnel 10.77.0.0/24 bil-gateway .1 u l-laptop .2. Il-firxa tat-tunnel m'għandhiex tikkoinċidi ma' network li l-laptop diġà jilħaq, inkella id-destinazzjonijiet isiru ambigwi. NAT tal-operatur jew router 'il fuq jistgħu jimblukkaw l-aċċess deħlin, u l-ebda twassil ta' port lokali ma jsewwi dan.

Ibdel iċ-ċwievet, imbagħad iddetermina d-daqs tal-AllowedIPs

Oħloq par ċwievet separat għal kull tarf u ċċaqlaq biss ċwievet pubbliċi permezz ta' kanal verifikat. L-entrata peer tal-gateway tippermetti biss is-sors tat-tunnel tal-laptop, għax il-LAN tad-dar tinsab wara l-gateway u mhux wara l-laptop. Li tpoġġi l-LAN f'dik l-entrata jiddeskrivi topoloġija li ma bnejtx.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs huwa l-prefiss tad-dar flimkien mal-indirizz tat-tunnel tal-gateway, qatt 0.0.0.0/0, biex il-browsing normali jżomm il-passa lokali tiegħu. Żomm sid wieħed tal-konfigurazzjoni, u qatt ma tqabbad l-istess interface ma' tieni manager tan-network.

Ir-rotta lura hija l-parti li n-nies jaqbeż

Dan id-disinn iżomm is-sors 10.77.0.2 tal-laptop minflok jaħbih bħala gateway, għalhekk l-apparati tad-dar iridu jafu kif iwieġbu. Żid rotta statika fuq ir-router tad-dar għal 10.77.0.0/24 b'192.168.50.10 bħala l-qabża li jmiss, u aqra x'jiddeduċi wg-quick mill-AllowedIPs fir-referenza tiegħu. Mingħajr dik ir-rotta, handshake mitmum jeżisti flimkien ma' tweġibiet tal-applikazzjoni li qatt ma jaslu.

Jekk ir-router ma jistax iġorr dik ir-rotta, agħżel disinn lura dokumentat. Iż-żieda kwieta ta' NAT minflok tbiddel il-mudell tas-sors li għadek kif ktibt.

Ippermetti servizz wieħed, mhux is-subnet

Ixgħel il-forwarding IPv4 fuq il-gateway u żomm tliet dmirijiet tal-firewall separati: ilqa' s-semmiegħ WireGuard, għaddi s-sors tal-laptop biss lejn 192.168.50.20, u ħalli l-bqija tan-network tad-dar magħluq għal dak il-peer. Integra r-regoli mal-manager tal-firewall li diġà jintuża minflok tħassru. Rotta għall-prefiss kollu tad-dar mhijiex permess li tuża kull apparat fih.

L-awtentikazzjoni tal-applikazzjoni nnifisha u l-firewall tal-host huma bieb separat. Semmi s-servizz li jippermetti s-sett ta' regoli, sabiex ir-reviżur li jmiss ikun jista' jqabbel max-xogħol maħsub.

Ittestja minn barra, imbagħad warrab b'mod nadif

Tellgħu l-profili permezz tas-sid tagħhom, ikkonferma l-handshake, imbagħad eżerċita l-applikazzjoni maħsuba minn network estern approvat u iċċekkja t-tweġiba. Ipprova servizz tad-dar li għandu jibqa' miċħud, għax regola permissiva hija inviżibbli sakemm xi ħaġa tużaha. Għall-HTTPS uża l-isem fuq iċ-ċertifikat u ħalli l-validazzjoni taħdem; li tittajpja l-indirizz nej u tgħaddi mill-avviż ma jipprova xejn dwar il-passa. PersistentKeepalive huwa fakultattiv: jgħin peer marbut man-NAT wara żmien ta' inattività, iżda mhuwiex rotta nieqsa u lanqas tiswija ta' permess.

Indirizz pubbliku dinamiku jeħtieġ aġġornamenti DNS, u l-laptop irid jerġa' jsolvi l-endpoint tiegħu wara bidla; rekords DNS ġodda ma jċaqalqux endpoint konfigurat. Warrab il-laptop billi tneħħi l-peer tiegħu mill-konfigurazzjoni maħżuna u attiva; it-tħassir tal-profil tal-laptop biss ma jirrevokax l-awtorizzazzjoni tal-gateway.

Artikli relatati