Kućni WireGuard tunel treba povratnu rutu iz LAN-a

Pristup kući je jedna privatna usluga, a ne drugi internetski izlaz. WireGuard završava na Linux mašini iza rutera, ruter zadržava svoj postojeći posao, a laptop šalje kroz tunel samo kućni prefiks. Koji uređaj prosljeđuje, a koji završava, odluka je iz koje slijedi svako kasnije pravilo. Pogriješite li tu podjelu, otklanjat ćete greške u NAT-u koji niste namjeravali dodati.

Odlučite ko prosljeđuje, a ko završava

Ruter posjeduje javni ulaz: prima UDP paket i prosljeđuje ga Linux hostu. Taj host posjeduje WireGuard osluškivač i odluku o prosljeđivanju u LAN. U praksi mapiranje šalje UDP 51820 na 192.168.50.10, a vlastiti port aplikacije ostaje zatvoren. Razdvajanje uloga drži firewall kratkim.

Napišite plan adresa prije kreiranja interfejsa. Ruter 192.168.50.1, gateway 192.168.50.10, servis 192.168.50.20, tunel 10.77.0.0/24 s gatewayem .1 i laptopom .2. Raspon tunela ne smije se preklapati s mrežom do koje laptop već dolazi, inače odredišta postaju dvosmislena. Carrier-grade NAT ili ruter uzvodno može blokirati dolazni pristup i nikakvo lokalno prosljeđivanje porta to ne popravlja.

Razmijenite ključeve, zatim odredite veličinu AllowedIPs

Napravite odvojen par ključeva za svaku krajnju tačku i prenosite samo javne ključeve provjerenim kanalom. Unos peera na gatewayu dopušta samo izvor tunela laptopa, jer kućni LAN stoji iza gatewaya, a ne iza laptopa. Stavljanje LAN-a u taj unos opisuje topologiju koju niste izgradili.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs je kućni prefiks plus tunelska adresa gatewaya, nikada 0.0.0.0/0, pa obično pregledanje zadržava svoju lokalnu putanju. Držite jednog vlasnika konfiguracije i nikada ne priključujte isti interfejs drugom mrežnom menadžeru.

Povratna ruta je dio koji ljudi preskoče

Ovaj dizajn zadržava izvor 10.77.0.2 laptopa umjesto da ga maskira kao gateway, pa kućni uređaji moraju znati kako da mu odgovore. Dodajte statičnu rutu na kućnom ruteru za 10.77.0.0/24 s 192.168.50.10 kao sljedećim skokom i pročitajte šta wg-quick izvodi iz AllowedIPs u svojoj referenci. Bez te rute, završeno rukovanje postoji zajedno s odgovorima aplikacije koji nikada ne stignu.

Ako ruter ne može nositi tu rutu, odaberite dokumentiran povratni dizajn. Tiho dodavanje NAT-a umjesto toga mijenja model izvora koji ste upravo zapisali.

Dopustite jednu uslugu, ne podmrežu

Omogućite IPv4 prosljeđivanje na gatewayu i držite tri firewall dužnosti odvojeno: propustite WireGuard osluškivač, proslijedite izvor laptopa samo na 192.168.50.20 i ostavite ostatak kućne mreže zatvoren za tog peera. Integrirajte pravila s firewall menadžerom koji se već koristi umjesto da ga ispraznite. Ruta za cijeli kućni prefiks nije dozvola za korištenje svakog uređaja unutar njega.

Vlastita autentifikacija aplikacije i host firewall odvojen su kapija. Navedite uslugu koju skup pravila dopušta, da je sljedeći recenzent može provjeriti prema predviđenom zadatku.

Testirajte izvana, zatim uredno uklonite

Podignite profile kroz njihovog vlasnika, potvrdite rukovanje, zatim vježbajte predviđenu aplikaciju s odobrene vanjske mreže i provjerite odgovor. Pokušajte kućnu uslugu koja mora ostati odbijena, jer permisivno pravilo je nevidljivo dok ga nešto ne iskoristi. Za HTTPS koristite ime sa certifikata i pustite validaciju da radi; upisivanje sirove adrese i klikanje kroz upozorenje ne dokazuje ništa o putanji. PersistentKeepalive je opcionalan: pomaže peeru vezanom za NAT nakon mirovanja, ali nije ruta koja nedostaje ni ispravka dozvole.

Dinamička javna adresa zahtijeva DNS ažuriranja, a laptop mora ponovo razriješiti svoj endpoint nakon promjene; novi DNS zapisi ne pomjeraju konfigurirani endpoint. Uklonite laptop brisanjem njegovog peera iz sačuvane i aktivne konfiguracije; brisanje samo profila laptopa ne opoziva autorizaciju gatewaya.