Een WireGuard-tunnel naar huis heeft een terugroute vanaf het LAN nodig

Toegang tot huis is één private dienst, geen tweede internetuitgang. WireGuard eindigt op een Linux-doos achter de router, de router houdt zijn huidige taak, en de laptop stuurt alleen het huisprefix door de tunnel. Welk apparaat doorstuurt en welk eindigt, is de beslissing waaruit elke latere regel volgt. Doe je die verdeling fout, dan debug je NAT die je nooit wilde toevoegen.

Bepaal wie doorstuurt en wie eindigt

De router bezit de openbare ingang: hij neemt het UDP-pakket aan en geeft het door aan de Linux-host. Die host bezit de WireGuard-listener en de beslissing om naar het LAN door te sturen. In de praktijk stuurt de mapping UDP 51820 naar 192.168.50.10, en de eigen poort van de applicatie blijft dicht. Aparte rollen houden de firewall kort.

Schrijf het adresplan voordat je de interface maakt. Router 192.168.50.1, gateway 192.168.50.10, dienst 192.168.50.20, tunnel 10.77.0.0/24 met gateway .1 en laptop .2. Het tunnelbereik mag niet overlappen met een netwerk dat de laptop al bereikt, anders worden bestemmingen dubbelzinnig. Carrier-grade NAT of een router hogerop kan inkomende toegang blokkeren, en geen lokale portforwarding repareert dat.

Wissel sleutels uit en bepaal daarna de AllowedIPs

Maak een apart sleutelpaar per eindpunt en verplaats alleen publieke sleutels via een geverifieerd kanaal. De peer-regel van de gateway staat alleen de tunnelbron van de laptop toe, omdat het huis-LAN achter de gateway zit en niet achter de laptop. Het LAN in die regel zetten beschrijft een topologie die je niet hebt gebouwd.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs is het huisprefix plus het tunneladres van de gateway, nooit 0.0.0.0/0, zodat gewoon browsen zijn lokale pad houdt. Houd één configuratie-eigenaar en koppel nooit dezelfde interface aan een tweede netwerkbeheerder.

De terugroute is het deel dat mensen overslaan

Dit ontwerp houdt de bron 10.77.0.2 van de laptop in plaats van die als gateway te maskeren, dus huisapparaten moeten weten hoe ze daarop antwoorden. Voeg een statische route toe op de huisrouter voor 10.77.0.0/24 met 192.168.50.10 als volgende hop, en lees wat wg-quick in zijn referentie uit AllowedIPs afleidt. Zonder die route bestaat een voltooide handshake naast applicatieantwoorden die nooit aankomen.

Kan de router die route niet dragen, kies dan een gedocumenteerd terugontwerp. Stilletjes NAT toevoegen verandert juist het bronmodel dat je net hebt opgeschreven.

Sta één dienst toe, niet het subnet

Zet IPv4-doorgifte aan op de gateway en houd drie firewalltaken gescheiden: de WireGuard-listener toelaten, de bron van de laptop alleen naar 192.168.50.20 doorsturen, en de rest van het huisnetwerk dicht houden voor die peer. Integreer de regels in de firewallbeheerder die al in gebruik is in plaats van die te legen. Een route voor het hele huisprefix is geen toestemming om elk apparaat erin te gebruiken.

De eigen authenticatie van de applicatie en de host-firewall zijn een aparte poort. Noem de dienst die de regelset toestaat, zodat de volgende beoordelaar die tegen de bedoelde taak kan controleren.

Test van buiten en haal het daarna netjes weg

Breng de profielen omhoog via hun eigenaar, bevestig de handshake, en oefen daarna de bedoelde applicatie vanaf een goedgekeurd extern netwerk en controleer het antwoord. Probeer een huisdienst die geweigerd moet blijven, want een toestemmende regel is onzichtbaar tot iets hem gebruikt. Gebruik voor HTTPS de naam op het certificaat en laat de validatie lopen; het ruwe adres typen en door de waarschuwing klikken bewijst niets over het pad. PersistentKeepalive is optioneel: het helpt een aan NAT gebonden peer na inactieve tijd, maar het is geen ontbrekende route of een rechtencorrectie.

Een dynamisch openbaar adres vraagt DNS-updates, en de laptop moet zijn eindpunt na een wijziging opnieuw oplossen; nieuwe DNS-records verplaatsen een geconfigureerd eindpunt niet. Haal de laptop weg door zijn peer uit de opgeslagen en actieve configuratie te verwijderen; alleen het laptopprofiel wissen trekt de autorisatie van de gateway niet in.