Domowy tunel WireGuard potrzebuje trasy powrotnej z LAN

Dostęp do domu to jedna prywatna usługa, a nie drugie wyjście do internetu. WireGuard kończy się na maszynie Linux za routerem, router zachowuje dotychczasowe zadanie, a laptop wysyła przez tunel tylko prefiks domu. Które urządzenie przekazuje, a które kończy, to decyzja, z której wynika każda późniejsza reguła. Pomylisz ten podział i będziesz debugować NAT, którego nigdy nie chciałeś dodać.

Ustal, kto przekazuje, a kto kończy

Publiczne wejście należy do routera: przyjmuje pakiet UDP i przekazuje go hostowi Linux. Ten host ma nasłuch WireGuard i decyzję o przekazywaniu do LAN. W praktyce mapowanie wysyła UDP 51820 na 192.168.50.10, a własny port aplikacji pozostaje zamknięty. Rozdzielenie ról utrzymuje zaporę krótką.

Zapisz plan adresacji przed utworzeniem interfejsu. Router 192.168.50.1, brama 192.168.50.10, usługa 192.168.50.20, tunel 10.77.0.0/24 z bramą .1 i laptopem .2. Zakres tunelu nie może nakładać się na sieć, do której laptop już dociera, inaczej cele stają się niejednoznaczne. NAT operatora lub router wyżej może blokować dostęp przychodzący i żadne lokalne przekierowanie portu tego nie naprawi.

Wymień klucze, a potem określ rozmiar AllowedIPs

Utwórz osobną parę kluczy dla każdego końca i przenoś tylko klucze publiczne sprawdzonym kanałem. Wpis peer bramy zezwala tylko na źródło tunelu laptopa, bo domowy LAN jest za bramą, a nie za laptopem. Umieszczenie LAN w tym wpisie opisuje topologię, której nie zbudowałeś.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs to prefiks domu plus adres tunelu bramy, nigdy 0.0.0.0/0, więc zwykłe przeglądanie zachowuje swoją ścieżkę lokalną. Trzymaj jednego właściciela konfiguracji i nigdy nie podłączaj tego samego interfejsu do drugiego menedżera sieci.

Trasa powrotna to część, którą ludzie pomijają

Ten projekt zachowuje źródło 10.77.0.2 laptopa zamiast maskować je jako bramę, więc urządzenia w domu muszą wiedzieć, jak odpowiedzieć. Dodaj statyczną trasę na domowym routerze dla 10.77.0.0/24 z 192.168.50.10 jako następnym skokiem i przeczytaj, co wg-quick wyprowadza z AllowedIPs w swojej referencji. Bez tej trasy ukończony uścisk dłoni współistnieje z odpowiedziami aplikacji, które nigdy nie docierają.

Jeśli router nie może nieść tej trasy, wybierz udokumentowany projekt powrotu. Ciche dodanie NAT zmienia zamiast tego model źródła, który właśnie zapisałeś.

Zezwól na jedną usługę, nie na podsieć

Włącz przekazywanie IPv4 na bramie i trzymaj trzy obowiązki zapory osobno: wpuść nasłuch WireGuard, przekazuj źródło laptopa tylko na 192.168.50.20 i pozostaw resztę sieci domowej zamkniętą dla tego peera. Włącz reguły do już używanego menedżera zapory, zamiast go czyścić. Trasa dla całego prefiksu domu nie jest zgodą na używanie każdego urządzenia w środku.

Uwierzytelnianie samej aplikacji i zapora hosta to osobna brama. Nazwij usługę, na którą pozwala zestaw reguł, aby następny recenzent mógł porównać ją z zamierzonym zadaniem.

Przetestuj z zewnątrz, a potem wycofaj czysto

Podnieś profile przez ich właściciela, potwierdź uścisk dłoni, następnie uruchom zamierzoną aplikację z zatwierdzonej sieci zewnętrznej i sprawdź odpowiedź. Spróbuj usługi domowej, która musi pozostać odrzucona, bo reguła zezwalająca jest niewidoczna, dopóki coś jej nie użyje. Dla HTTPS użyj nazwy z certyfikatu i pozwól walidacji działać; wpisanie surowego adresu i przejście przez ostrzeżenie niczego nie dowodzi o ścieżce. PersistentKeepalive jest opcjonalny: pomaga peerowi za NAT po bezczynności, ale nie jest brakującą trasą ani poprawką uprawnień.

Dynamiczny adres publiczny wymaga aktualizacji DNS, a laptop musi ponownie rozwiązać swój punkt końcowy po zmianie; nowe rekordy DNS nie przenoszą skonfigurowanego punktu końcowego. Wycofaj laptopa, usuwając jego peer z zapisanej i aktywnej konfiguracji; usunięcie samego profilu laptopa nie odwołuje autoryzacji bramy.