Um túnel WireGuard doméstico precisa de rota de volta a partir da LAN

O acesso a casa é um único serviço privado, não uma segunda saída para a internet. O WireGuard termina numa máquina Linux atrás do router, o router mantém a sua tarefa atual e o portátil envia apenas o prefixo de casa pelo túnel. Qual o dispositivo que encaminha e qual o que termina é a decisão de que depende cada regra seguinte. Se errar essa divisão, vai depurar NAT que nunca pensou acrescentar.

Decida quem encaminha e quem termina

O router possui a entrada pública: aceita o pacote UDP e passa-o ao host Linux. Esse host possui o ouvinte do WireGuard e a decisão de encaminhamento para a LAN. Na prática, o mapeamento envia UDP 51820 para 192.168.50.10, e a porta da própria aplicação permanece fechada. Manter os papéis separados mantém a firewall curta.

Escreva o plano de endereços antes de criar a interface. Router 192.168.50.1, gateway 192.168.50.10, serviço 192.168.50.20, túnel 10.77.0.0/24 com gateway .1 e portátil .2. O intervalo do túnel não pode sobrepor-se a uma rede que o portátil já alcança, ou os destinos tornam-se ambíguos. O NAT de operadora ou um router acima podem bloquear o acesso de entrada, e nenhum encaminhamento de porta local resolve isso.

Troque as chaves e depois dimensione as AllowedIPs

Crie um par de chaves separado por extremidade e mova apenas chaves públicas por um canal verificado. A entrada de peer da gateway permite apenas a origem do túnel do portátil, porque a LAN de casa está atrás da gateway e não atrás do portátil. Colocar a LAN nessa entrada descreve uma topologia que não construiu.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs é o prefixo de casa mais o endereço de túnel da gateway, nunca 0.0.0.0/0, para que a navegação comum mantenha o seu caminho local. Mantenha um único proprietário da configuração e nunca ligue a mesma interface a um segundo gestor de rede.

A rota de volta é a parte que as pessoas saltam

Este desenho mantém a origem 10.77.0.2 do portátil em vez de a mascarar como gateway, por isso os dispositivos de casa têm de saber como responder. Acrescente uma rota estática no router de casa para 10.77.0.0/24 com 192.168.50.10 como próximo salto, e leia o que o wg-quick deriva das AllowedIPs na sua referência. Sem essa rota, um handshake concluído coexiste com respostas da aplicação que nunca chegam.

Se o router não conseguir suportar essa rota, escolha um desenho de retorno documentado. Acrescentar NAT em silêncio altera, em vez disso, o modelo de origem que acabou de escrever.

Permita um serviço, não a sub-rede

Ative o encaminhamento IPv4 na gateway e mantenha três deveres da firewall separados: admitir o ouvinte do WireGuard, encaminhar a origem do portátil apenas para 192.168.50.20 e deixar o resto da rede de casa fechado a esse peer. Integre as regras no gestor de firewall já utilizado em vez de o esvaziar. Uma rota para todo o prefixo de casa não é permissão para usar cada dispositivo dentro dele.

A autenticação da própria aplicação e a firewall do host são uma porta separada. Nomeie o serviço que o conjunto de regras permite, para que o próximo revisor o possa confrontar com a tarefa prevista.

Teste a partir de fora e depois retire de forma limpa

Levante os perfis através do respetivo proprietário, confirme o handshake e depois exercite a aplicação prevista a partir de uma rede externa aprovada e verifique a resposta. Tente um serviço de casa que deva permanecer negado, porque uma regra permissiva é invisível até algo a usar. Para HTTPS, use o nome do certificado e deixe a validação correr; escrever o endereço em bruto e passar o aviso não prova nada sobre o caminho. O PersistentKeepalive é opcional: ajuda um peer ligado a NAT após inatividade, mas não é uma rota em falta nem uma correção de permissões.

Um endereço público dinâmico exige atualizações de DNS, e o portátil tem de voltar a resolver o seu endpoint após uma alteração; novos registos DNS não movem um endpoint configurado. Retire o portátil removendo o seu peer da configuração guardada e ativa; apagar apenas o perfil do portátil não revoga a autorização da gateway.