घरको WireGuard सुरुङलाई LAN बाट फर्किने मार्ग चाहिन्छ

घरमा पहुँच एउटा निजी सेवा हो, दोस्रो इन्टरनेट निकास होइन। WireGuard राउटरको पछाडिको Linux बक्समा अन्त्य हुन्छ, राउटरले आफ्नो वर्तमान काम राख्छ, र ल्यापटपले सुरुङबाट घरको प्रिफिक्स मात्र पठाउँछ। कुन यन्त्रले अगाडि पठाउँछ र कुनले अन्त्य गर्छ भन्ने त्यो निर्णय हो जसबाट हरेक पछिल्लो नियम आउँछ। यो बाँडफाँट गलत भयो भने तपाईंले थप्ने सोच नगरेको NAT डिबग गर्नुहुनेछ।

कसले अगाडि पठाउँछ र कसले अन्त्य गर्छ तय गर्नुहोस्

सार्वजनिक प्रवेश राउटरसँग छ: यसले UDP प्याकेट स्वीकार्छ र Linux होस्टलाई दिन्छ। त्यो होस्टसँग WireGuard श्रोता र LAN मा पठाउने निर्णय छ। व्यवहारमा म्यापिङले UDP 51820 लाई 192.168.50.10 मा पठाउँछ, र एप्लिकेसनको आफ्नै पोर्ट बन्द रहन्छ। भूमिका छुट्टाएर राख्दा फायरवाल छोटो रहन्छ।

इन्टरफेस बनाउनु अघि ठेगाना योजना लेख्नुहोस्। राउटर 192.168.50.1, गेटवे 192.168.50.10, सेवा 192.168.50.20, सुरुङ 10.77.0.0/24 गेटवे .1 र ल्यापटप .2 सहित। सुरुङको दायरा ल्यापटपले पहिले नै पुग्ने सञ्जालसँग ओभरल्याप हुनु हुँदैन, नत्र गन्तव्यहरू अस्पष्ट हुन्छन्. क्यारियर-ग्रेड NAT वा माथिको राउटरले आउँदो पहुँच रोक्न सक्छ, र कुनै स्थानीय पोर्ट फर्वार्डिङले त्यो सुधार्दैन।

कुञ्जी साट्नुहोस्, त्यसपछि AllowedIPs को आकार तय गर्नुहोस्

हरेक छेउका लागि छुट्टै कुञ्जी जोडी बनाउनुहोस् र प्रमाणित मार्गबाट सार्वजनिक कुञ्जी मात्र सार्नुहोस्। गेटवेको peer प्रविष्टिले ल्यापटपको सुरुङ स्रोतलाई मात्र अनुमति दिन्छ, किनकि घरको LAN ल्यापटपको पछाडि होइन, गेटवेको पछाडि छ। त्यो प्रविष्टिमा LAN राख्नु भनेको तपाईंले नबनाएको टोपोलोजी वर्णन गर्नु हो।

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs भनेको घरको प्रिफिक्स र गेटवेको सुरुङ ठेगाना हो, कहिल्यै 0.0.0.0/0 होइन, त्यसैले सामान्य ब्राउजिङले आफ्नो स्थानीय मार्ग राख्छ। एउटै कन्फिगरेसन मालिक राख्नुहोस्, र त्यही इन्टरफेस दोस्रो सञ्जाल प्रबन्धकमा कहिल्यै नजोड्नुहोस्।

फर्किने मार्ग त्यो भाग हो जो मानिसहरूले छोड्छन्

यो डिजाइनले ल्यापटपको 10.77.0.2 स्रोतलाई गेटवेका रूपमा नक्कली नबनाई राख्छ, त्यसैले घरका यन्त्रहरूले यसलाई कसरी जवाफ दिने भन्ने जान्नुपर्छ। घरको राउटरमा 10.77.0.0/24 का लागि 192.168.50.10 अर्को हप राखेर स्थिर मार्ग थप्नुहोस्, र wg-quick ले AllowedIPs बाट के निकाल्छ त्यो यसको सन्दर्भमा पढ्नुहोस्। त्यो मार्ग बिना, पूरा भएको ह्यान्डसेक कहिल्यै नआउने एप्लिकेसन जवाफसँगै रहन्छ।

राउटरले त्यो मार्ग बोक्न सक्दैन भने दस्तावेजीकृत फर्किने डिजाइन छान्नुहोस्। चुपचाप NAT थप्नुले बरु तपाईंले भर्खर लेखेको स्रोत मोडेल बदल्छ।

एउटा सेवालाई अनुमति दिनुहोस्, सबनेटलाई होइन

गेटवेमा IPv4 फर्वार्डिङ सक्षम गर्नुहोस् र फायरवालका तीन जिम्मेवारी छुट्टाछुट्टै राख्नुहोस्: WireGuard श्रोतालाई प्रवेश दिनुहोस्, ल्यापटपको स्रोतलाई 192.168.50.20 मा मात्र पठाउनुहोस्, र घरको सञ्जालको बाँकी भाग त्यो peer का लागि बन्द राख्नुहोस्। नियमहरू पहिले नै प्रयोगमा रहेको फायरवाल प्रबन्धकमा समाहित गर्नुहोस्, त्यसलाई खाली नगर्नुहोस्। पूरै घरको प्रिफिक्सको मार्ग भित्रका हरेक यन्त्र प्रयोग गर्ने अनुमति होइन।

एप्लिकेसनको आफ्नै प्रमाणीकरण र होस्ट फायरवाल छुट्टै ढोका हुन्। नियमसमूहले अनुमति दिने सेवाको नाम दिनुहोस्, ताकि अर्को समीक्षकले त्यसलाई इच्छित कामसँग भिडाउन सकोस्।

बाहिरबाट परीक्षण गर्नुहोस्, त्यसपछि सफासँग फिर्ता लिनुहोस्

प्रोफाइलहरू तिनका मालिकमार्फत माथि ल्याउनुहोस्, ह्यान्डसेक पुष्टि गर्नुहोस्, त्यसपछि स्वीकृत बाहिरी सञ्जालबाट इच्छित एप्लिकेसन चलाएर जवाफ जाँच्नुहोस्। अस्वीकार नै रहनुपर्ने घरको सेवा पनि प्रयास गर्नुहोस्, किनकि अनुमति दिने नियम कुनै कुराले प्रयोग नगरेसम्म अदृश्य हुन्छ। HTTPS का लागि प्रमाणपत्रमा भएको नाम प्रयोग गर्नुहोस् र प्रमाणीकरण चल्न दिनुहोस्; कच्चा ठेगाना टाइप गरेर चेतावनी पार गर्नुले मार्गबारे केही प्रमाणित गर्दैन। PersistentKeepalive ऐच्छिक हो: निष्क्रियतापछि NAT मा अड्किएको peer लाई सहयोग गर्छ, तर यो नहराएको मार्ग होइन न अनुमतिको सुधार।

गतिशील सार्वजनिक ठेगानालाई DNS अद्यावधिक चाहिन्छ, र परिवर्तनपछि ल्यापटपले आफ्नो अन्त्यबिन्दु फेरि समाधान गर्नुपर्छ; नयाँ DNS रेकर्डले कन्फिगर गरिएको अन्त्यबिन्दु सार्दैन। भण्डारित र सक्रिय कन्फिगरेसनबाट त्यसको peer हटाएर ल्यापटप फिर्ता लिनुहोस्; ल्यापटप प्रोफाइल मात्र मेटाउँदा गेटवेको अधिकार रद्द हुँदैन।