Ein WireGuard-tunnel heime treng ei returrute frå LAN-et

Tilgang heimanfrå er éin privat teneste, ikkje ein annan internettutgang. WireGuard terminerer på ein Linux-boks bak ruteren, ruteren held på den noverande jobben sin, og laptoppen sender berre heimeprefikset gjennom tunnelen. Kva eining som videresender og kva som terminerer, er avgjerda som kvar seinare regel følgjer av. Tek du denne delinga feil, skal du feilsøkja NAT du aldri meinte å leggja til.

Avgjer kven som videresender og kven som terminerer

Ruteren eig den offentlege inngangen: han tek imot UDP-pakken og sender han vidare til Linux-verten. Den verten eig WireGuard-lyttaren og avgjerda om videresending inn i LAN-et. I praksis sender mapppinga UDP 51820 til 192.168.50.10, og den eigne porten til applikasjonen held seg stengd. Å halda rollene åtskilde held brannmuren kort.

Skriv adresseplanen før du opprettar grensesnittet. Ruter 192.168.50.1, gateway 192.168.50.10, teneste 192.168.50.20, tunnel 10.77.0.0/24 med gateway .1 og laptop .2. Tunnelområdet må ikkje overlappa eit nettverk laptoppen alt når, elles blir destinasjonane tvitydige. Carrier-grade NAT eller ein ruter lenger opp kan blokkera inngåande tilgang, og inga lokal portvideresending reparerer det.

Byt nøklar, og dimensjoner deretter AllowedIPs

Lag eit separat nøkkelpar per endepunkt og flytt berre offentlege nøklar gjennom ein stadfesta kanal. Peer-oppføringa til gatewayen tillèt berre tunnelkjelda til laptoppen, fordi heime-LAN-et ligg bak gatewayen og ikkje bak laptoppen. Å setja LAN-et i den oppføringa skildrar ein topologi du ikkje har bygd.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs er heimeprefikset pluss tunneladressa til gatewayen, aldri 0.0.0.0/0, slik at vanleg surfing held den lokale vegen sin. Hald éin konfigurasjonseigar, og kople aldri same grensesnitt til ein annan nettverkshandsamar.

Returruta er den delen folk hoppar over

Dette designet held kjelda 10.77.0.2 til laptoppen i staden for å maskera ho som gatewayen, så heimeeiningane må vita korleis dei svarar henne. Legg til ei statisk rute på heimeruteren for 10.77.0.0/24 med 192.168.50.10 som neste hopp, og les kva wg-quick leier ut frå AllowedIPs i sin referanse. Utan den ruta finst eit fullført handtrykk saman med applikasjonssvar som aldri kjem fram.

Kan ikkje ruteren bera den ruta, vel eit dokumentert returdesign. Å leggja til NAT i det stille endrar i staden kjeldedesignet du nettopp skreiv ned.

Tillat éi teneste, ikkje subnettet

Slå på IPv4-videresending på gatewayen og hald tre brannmurpliktar åtskilde: slepp inn WireGuard-lyttaren, videresend kjelda til laptoppen berre til 192.168.50.20, og lat resten av heimenettverket vera stengt for den peer-en. Integrer reglane i brannmurhandsamaren som alt er i bruk, i staden for å tømma han. Ei rute for heile heimeprefikset er ikkje løyve til å bruka kvar eining inni det.

Autentiseringa til applikasjonen sjølv og brannmuren til verten er ei eiga port. Namngi tenesta som regelverket tillèt, slik at neste gjennomgang kan kontrollera ho mot den tiltenkte oppgåva.

Test utanfrå og ta det så reint ut

Ta profilen opp via eigaren, stadfest handtrykket, og øv deretter på den tiltenkte applikasjonen frå eit godkjent eksternt nettverk og kontroller svaret. Freist ein heimeteneste som skal vera avvist, for ei tillatande regel er usynleg til noko brukar ho. For HTTPS, bruk namnet på sertifikatet og lat valideringa gå; å skriva råadressa og klikka gjennom åtvaringa beviser ingenting om vegen. PersistentKeepalive er valfritt: det hjelper ein NAT-bunden peer etter ledig tid, men det er ikkje ei manglande rute eller ei tillatingsretting.

Ei dynamisk offentleg adresse treng DNS-oppdateringar, og laptoppen må slå opp endepunktet sitt på nytt etter ei endring; nye DNS-poster flyttar ikkje eit konfigurert endepunkt. Ta ut laptoppen ved å fjerna peer-en frå lagra og aktiv konfigurasjon; å sletta berre laptopprofilen tilbakekallar ikkje autorisasjonen til gatewayen.