En WireGuard-tunnel hjemme trenger en returrute fra LAN-et

Tilgang hjemmefra er én privat tjeneste, ikke en annen internettutgang. WireGuard terminerer på en Linux-boks bak ruteren, ruteren beholder sin nåværende jobb, og laptopen sender bare hjemmeprefikset gjennom tunnelen. Hvilken enhet som videresender og hvilken som terminerer, er avgjørelsen som hver senere regel følger av. Tar du denne delingen feil, skal du feilsøke NAT du aldri mente å legge til.

Bestem hvem som videresender og hvem som terminerer

Ruteren eier den offentlige inngangen: den tar imot UDP-pakken og sender den videre til Linux-verten. Den verten eier WireGuard-lytteren og beslutningen om videresending inn i LAN-et. I praksis sender mappingen UDP 51820 til 192.168.50.10, og applikasjonens egen port forblir lukket. Å holde rollene atskilt holder brannmuren kort.

Skriv adresseplanen før du oppretter grensesnittet. Ruter 192.168.50.1, gateway 192.168.50.10, tjeneste 192.168.50.20, tunnel 10.77.0.0/24 med gateway .1 og laptop .2. Tunnelområdet må ikke overlappe et nettverk laptopen allerede når, ellers blir destinasjonene tvetydige. Carrier-grade NAT eller en ruter lenger opp kan blokkere innkommende tilgang, og ingen lokal portvideresending reparerer det.

Bytt nøkler, og dimensjoner deretter AllowedIPs

Lag et separat nøkkelpar per endepunkt og flytt bare offentlige nøkler gjennom en verifisert kanal. Gatewayens peer-oppføring tillater bare laptopens tunnelkilde, fordi hjemme-LAN-et ligger bak gatewayen og ikke bak laptopen. Å sette LAN-et i den oppføringen beskriver en topologi du ikke har bygget.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs er hjemmeprefikset pluss gatewayens tunneladresse, aldri 0.0.0.0/0, slik at vanlig surfing beholder sin lokale vei. Hold én konfigurasjonseier, og koble aldri samme grensesnitt til en annen nettverksbehandler.

Returruten er den delen folk hopper over

Dette designet beholder laptopens 10.77.0.2-kilde i stedet for å maskere den som gatewayen, så hjemmeenhetene må vite hvordan de svarer den. Legg til en statisk rute på hjemmeruteren for 10.77.0.0/24 med 192.168.50.10 som neste hopp, og les hva wg-quick utleder fra AllowedIPs i sin referanse. Uten den ruten finnes et fullført håndtrykk sammen med applikasjonssvar som aldri kommer frem.

Kan ikke ruteren bære den ruten, velg et dokumentert returdesign. Å legge til NAT i stillhet endrer i stedet kildemodellen du nettopp skrev ned.

Tillat én tjeneste, ikke subnettet

Aktiver IPv4-videresending på gatewayen og hold tre brannmurplikter atskilt: slipp inn WireGuard-lytteren, videresend laptopens kilde bare til 192.168.50.20, og la resten av hjemmenettverket være lukket for den peer-en. Integrer reglene i brannmurbehandleren som allerede brukes, i stedet for å tømme den. En rute for hele hjemmeprefikset er ikke tillatelse til å bruke hver enhet inni det.

Applikasjonens egen autentisering og vertens brannmur er en egen port. Navngi tjenesten regelverket tillater, slik at neste gjennomgang kan kontrollere den mot den tiltenkte oppgaven.

Test utenfra, og utfase deretter rent

Ta profilen opp via eieren, bekreft håndtrykket, og øv deretter på den tiltenkte applikasjonen fra et godkjent eksternt nettverk og kontroller svaret. Forsøk en hjemmetjeneste som skal forbli avvist, for en tillatende regel er usynlig til noe bruker den. For HTTPS, bruk navnet på sertifikatet og la valideringen kjøre; å skrive råadressen og klikke gjennom advarselen beviser ingenting om veien. PersistentKeepalive er valgfritt: det hjelper en NAT-bundet peer etter ledig tid, men det er ikke en manglende rute eller en tillatelsesretting.

En dynamisk offentlig adresse trenger DNS-oppdateringer, og laptopen må slå opp endepunktet sitt på nytt etter en endring; nye DNS-poster flytter ikke et konfigurert endepunkt. Utfas laptopen ved å fjerne peer-en fra lagret og aktiv konfigurasjon; å slette bare laptopprofilen tilbakekaller ikke gatewayens autorisasjon.