Një tunel WireGuard shtëpiak ka nevojë për një rrugë kthimi nga LAN

Aksesi në shtëpi është një shërbim privat, jo një dalje e dytë interneti. WireGuard përfundon në një makinë Linux pas ruterit, ruteri mban punën e tij aktuale, dhe laptopi dërgon vetëm prefiksin e shtëpisë përmes tunelit. Cila pajisje përçon dhe cila përfundon është vendimi nga i cili rrjedh çdo rregull i mëvonshëm. Nëse e gaboni këtë ndarje, do të korrigjoni NAT që nuk kishit ndërmend të shtonit.

Vendosni kush përçon dhe kush përfundon

Ruteri zotëron hyrjen publike: pranon paketën UDP dhe ia kalon hostit Linux. Ai host zotëron dëgjuesin WireGuard dhe vendimin e përçimit në LAN. Në praktikë hartëzimi dërgon UDP 51820 në 192.168.50.10, dhe porta e vetë aplikacionit mbetet e mbyllur. Ndarja e roleve e mban firewall-in të shkurtër.

Shkruani planin e adresave përpara se të krijoni ndërfaqen. Ruter 192.168.50.1, portë 192.168.50.10, shërbim 192.168.50.20, tunel 10.77.0.0/24 me portë .1 dhe laptop .2. Gama e tunelit nuk duhet të mbivendoset me një rrjet që laptopi e arrin tashmë, përndryshe destinacionet bëhen të paqarta. NAT i operatorit ose një ruter më lart mund të bllokojnë aksesin hyrës, dhe asnjë përçim lokal i portës nuk e rregullon këtë.

Shkëmbeni çelësat, pastaj përcaktoni madhësinë e AllowedIPs

Krijoni një palë çelësash të veçantë për çdo skaj dhe lëvizni vetëm çelësat publikë përmes një kanali të verifikuar. Zëri peer i portës lejon vetëm burimin e tunelit të laptopit, sepse LAN-i i shtëpisë ndodhet pas portës dhe jo pas laptopit. Vendosja e LAN-it në atë zë përshkruan një topologji që nuk e keni ndërtuar.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs është prefiksi i shtëpisë plus adresa e tunelit të portës, kurrë 0.0.0.0/0, kështu që shfletimi i zakonshëm mban rrugën e tij lokale. Mbani një pronar të vetëm të konfigurimit dhe mos lidhni kurrë të njëjtën ndërfaqe me një menaxher të dytë rrjeti.

Rruga e kthimit është pjesa që njerëzit e anashkalojnë

Ky dizajn mban burimin 10.77.0.2 të laptopit në vend që ta maskojë si portë, prandaj pajisjet e shtëpisë duhet të dinë si t'i përgjigjen. Shtoni një rrugë statike në ruterin e shtëpisë për 10.77.0.0/24 me 192.168.50.10 si hopin tjetër, dhe lexoni çfarë nxjerr wg-quick nga AllowedIPs në referencën e tij. Pa atë rrugë, një shtrëngim duarsh i përfunduar bashkëjeton me përgjigje aplikacioni që nuk mbërrijnë kurrë.

Nëse ruteri nuk mund ta mbajë atë rrugë, zgjidhni një dizajn kthimi të dokumentuar. Shtimi i qetë i NAT ndryshon në vend të kësaj modelin e burimit që sapo shkruat.

Lejoni një shërbim, jo nënrrjetin

Aktivizoni përçimin IPv4 në portë dhe mbani tre detyra të firewall-it të ndara: pranoni dëgjuesin WireGuard, përconi burimin e laptopit vetëm në 192.168.50.20 dhe lini pjesën tjetër të rrjetit të shtëpisë të mbyllur për atë peer. Integroni rregullat në menaxherin e firewall-it që përdoret tashmë, në vend që ta zbrazni. Një rrugë për të gjithë prefiksin e shtëpisë nuk është leje për të përdorur çdo pajisje brenda tij.

Vërtetimi i vetë aplikacionit dhe firewall-i i hostit janë një portë e veçantë. Emërtoni shërbimin që lejon grupi i rregullave, që rishikuesi i radhës ta krahasojë me detyrën e synuar.

Testojeni nga jashtë, pastaj hiqeni pastër

Ngrini profilet përmes pronarit të tyre, konfirmoni shtrëngimin e duarve, pastaj ushtroni aplikacionin e synuar nga një rrjet i jashtëm i miratuar dhe kontrolloni përgjigjen. Provoni një shërbim shtëpiak që duhet të mbetet i refuzuar, sepse një rregull lejues është i padukshëm derisa diçka ta përdorë. Për HTTPS përdorni emrin në certifikatë dhe lini validimin të ekzekutohet; shtypja e adresës së papërpunuar dhe kalimi nëpër paralajmërim nuk provon asgjë për rrugën. PersistentKeepalive është opsional: ndihmon një peer të lidhur me NAT pas paveprimtarisë, por nuk është rrugë që mungon as korrigjim lejeje.

Një adresë publike dinamike kërkon përditësime DNS, dhe laptopi duhet ta zgjidhë përsëri pikën e tij fundore pas një ndryshimi; regjistrimet e reja DNS nuk lëvizin një pikë fundore të konfiguruar. Hiqni laptopin duke hequr peer-in e tij nga konfigurimi i ruajtur dhe aktiv; fshirja e vetëm profilit të laptopit nuk e revokon autorizimin e portës.