Un tunel WireGuard de acasă are nevoie de o rută de întoarcere din LAN

Accesul la casă este un singur serviciu privat, nu o a doua ieșire la internet. WireGuard se termină pe o mașină Linux din spatele routerului, routerul își păstrează sarcina actuală, iar laptopul trimite doar prefixul casei prin tunel. Care dispozitiv redirecționează și care termină este decizia de care depinde fiecare regulă ulterioară. Dacă greșiți această împărțire, veți depana NAT pe care nu intenționați să îl adăugați.

Decideți cine redirecționează și cine termină

Routerul deține intrarea publică: acceptă pachetul UDP și îl trimite gazdei Linux. Acea gazdă deține ascultătorul WireGuard și decizia de redirecționare în LAN. În practică, maparea trimite UDP 51820 către 192.168.50.10, iar portul aplicației rămâne închis. Separarea rolurilor ține firewallul scurt.

Scrieți planul de adrese înainte de a crea interfața. Router 192.168.50.1, gateway 192.168.50.10, serviciu 192.168.50.20, tunel 10.77.0.0/24 cu gateway .1 și laptop .2. Intervalul tunelului nu trebuie să se suprapună cu o rețea la care laptopul ajunge deja, altfel destinațiile devin ambigue. NAT de operator sau un router superior pot bloca accesul de intrare, iar nicio redirecționare locală de port nu repară asta.

Schimbați cheile, apoi dimensionați AllowedIPs

Creați o pereche de chei separată pentru fiecare capăt și mutați doar chei publice printr-un canal verificat. Intrarea peer a gateway-ului permite doar sursa tunelului laptopului, fiindcă LAN-ul casei este în spatele gateway-ului, nu în spatele laptopului. Dacă puneți LAN-ul în acea intrare, descrieți o topologie pe care nu ați construit-o.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs este prefixul casei plus adresa de tunel a gateway-ului, niciodată 0.0.0.0/0, astfel încât navigarea obișnuită își păstrează calea locală. Păstrați un singur proprietar al configurației și nu conectați niciodată aceeași interfață la un al doilea manager de rețea.

Ruta de întoarcere este partea pe care oamenii o sar

Acest design păstrează sursa 10.77.0.2 a laptopului în loc să o mascheze ca gateway, așa că dispozitivele din casă trebuie să știe cum să răspundă. Adăugați o rută statică pe routerul casei pentru 10.77.0.0/24 cu 192.168.50.10 ca următor salt, și citiți ce derivă wg-quick din AllowedIPs în referința sa. Fără acea rută, o strângere de mână finalizată coexistă cu răspunsuri ale aplicației care nu ajung niciodată.

Dacă routerul nu poate duce acea rută, alegeți un design de întoarcere documentat. Adăugarea tăcută de NAT schimbă în schimb modelul de sursă pe care tocmai l-ați scris.

Permiteți un serviciu, nu subrețeaua

Activați redirecționarea IPv4 pe gateway și țineți trei atribuții ale firewallului separate: admiteți ascultătorul WireGuard, redirecționați sursa laptopului doar către 192.168.50.20 și lăsați restul rețelei casei închis pentru acel peer. Integrați regulile în managerul de firewall deja folosit în loc să îl goliți. O rută pentru întregul prefix al casei nu este permisiunea de a folosi fiecare dispozitiv din interior.

Autentificarea aplicației în sine și firewallul gazdei sunt o poartă separată. Numiți serviciul pe care setul de reguli îl permite, astfel încât următorul revizor să îl poată compara cu sarcina prevăzută.

Testați din exterior, apoi retrageți curat

Ridicați profilele prin proprietarul lor, confirmați strângerea de mână, apoi exersați aplicația prevăzută dintr-o rețea externă aprobată și verificați răspunsul. Încercați un serviciu de acasă care trebuie să rămână refuzat, fiindcă o regulă permisivă este invizibilă până când ceva o folosește. Pentru HTTPS, folosiți numele de pe certificat și lăsați validarea să ruleze; tastarea adresei brute și trecerea prin avertisment nu dovedește nimic despre cale. PersistentKeepalive este opțional: ajută un peer legat de NAT după inactivitate, dar nu este o rută lipsă și nici o corectare de permisiuni.

O adresă publică dinamică necesită actualizări DNS, iar laptopul trebuie să își rezolve din nou endpointul după o schimbare; înregistrările DNS noi nu mută un endpoint configurat. Retrageți laptopul eliminând peer-ul său din configurația salvată și activă; ștergerea doar a profilului laptopului nu revocă autorizarea gateway-ului.