Domači tunel WireGuard potrebuje povratno pot iz LAN

Rokovanje je lažji del. Odločite se o delitvi dela med usmerjevalnikom in prehodom, ohranite vir prenosnika nespremenjen in dajte LAN povratno pot.

Dostop domov je ena zasebna storitev, ne drugi internetni izhod. WireGuard se konča na napravi Linux za usmerjevalnikom, usmerjevalnik obdrži svojo dosedanjo nalogo, prenosnik pa po tunelu pošilja samo domačo predpono. Katera naprava posreduje in katera konča, je odločitev, iz katere izhaja vsako nadaljnje pravilo. Če to delitev zgrešite, boste odpravljali napake v NAT, ki ga niste nameravali dodati.

Odločite se, kdo posreduje in kdo konča

Javni vhod ima usmerjevalnik: sprejme paket UDP in ga preda gostitelju Linux. Ta gostitelj ima poslušalca WireGuard in odločitev o posredovanju v LAN. V praksi preslikava pošlje UDP 51820 na 192.168.50.10, lastna vrata aplikacije pa ostanejo zaprta. Ločeni vlogi ohranjata požarni zid kratek.

Zapišite načrt naslovov, preden ustvarite vmesnik. Usmerjevalnik 192.168.50.1, prehod 192.168.50.10, storitev 192.168.50.20, tunel 10.77.0.0/24 s prehodom .1 in prenosnikom .2. Obseg tunela se ne sme prekrivati z omrežjem, ki ga prenosnik že doseže, sicer cilji postanejo dvoumni. NAT pri operaterju ali usmerjevalnik višje lahko blokira dohodni dostop in nobeno lokalno posredovanje vrat tega ne popravi.

Zamenjajte ključe in nato določite velikost AllowedIPs

Ustvarite ločen par ključev za vsak konec in prenašajte samo javne ključe po preverjenem kanalu. Vnos peer na prehodu dovoljuje samo vir tunela prenosnika, ker je domači LAN za prehodom in ne za prenosnikom. Če LAN vpišete v ta vnos, opišete topologijo, ki je niste zgradili.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs je domača predpona plus naslov tunela prehoda, nikoli 0.0.0.0/0, zato običajno brskanje ohrani svojo lokalno pot. Imate enega lastnika konfiguracije in nikoli ne priključite istega vmesnika na drugega upravitelja omrežja.

Povratna pot je tisti del, ki ga ljudje izpustijo

Ta zasnova ohrani vir 10.77.0.2 prenosnika, namesto da bi ga prikrila kot prehod, zato morajo domače naprave vedeti, kako odgovoriti. Na domači usmerjevalnik dodajte statično pot za 10.77.0.0/24 z 192.168.50.10 kot naslednjim skokom in preberite, kaj wg-quick izpelje iz AllowedIPs v svoji referenci. Brez te poti dokončano rokovanje sobiva z odgovori aplikacije, ki nikoli ne prispejo.

Če usmerjevalnik te poti ne more nositi, izberite dokumentirano zasnovo vrnitve. Tiho dodajanje NAT namesto tega spremeni model vira, ki ste ga pravkar zapisali.

Dovolite eno storitev, ne podomrežja

Na prehodu omogočite posredovanje IPv4 in ohranite tri dolžnosti požarnega zidu ločene: spustite poslušalca WireGuard, posredujte vir prenosnika samo na 192.168.50.20 in pustite preostanek domačega omrežja za tega peera zaprt. Pravila vključite v že uporabljeni upravitelj požarnega zidu, namesto da bi ga izpraznili. Pot za celotno domačo predpono ni dovoljenje za uporabo vsake naprave znotraj nje.

Lastno preverjanje pristnosti aplikacije in požarni zid gostitelja sta ločena vrata. Poimenujte storitev, ki jo nabor pravil dovoljuje, da jo bo naslednji pregledovalec lahko primerjal z predvideno nalogo.

Preizkusite od zunaj in nato čisto umaknite

Dvignite profile prek njihovega lastnika, potrdite rokovanje, nato preizkusite predvideno aplikacijo iz odobrenega zunanjega omrežja in preverite odgovor. Poskusite domačo storitev, ki mora ostati zavrnjena, ker je dovoljujoče pravilo nevidno, dokler ga nekaj ne uporabi. Za HTTPS uporabite ime na potrdilu in pustite preverjanje delovati; vnos surovega naslova in prehod skozi opozorilo ne dokažeta ničesar o poti. PersistentKeepalive je neobvezen: pomaga peeru za NAT po mirovanju, vendar ni manjkajoča pot niti popravek dovoljenj.

Dinamični javni naslov potrebuje posodobitve DNS in prenosnik mora po spremembi znova razrešiti svojo končno točko; novi zapisi DNS ne premaknejo nastavljene končne točke. Umaknite prenosnik tako, da odstranite njegov peer iz shranjene in dejavne konfiguracije; brisanje samo profila prenosnika ne prekliče avtorizacije prehoda.

Sorodni članki