Tuneli ya WireGuard ya nyumbani inahitaji njia ya kurudi kutoka LAN

Handshake ni sehemu rahisi. Amua mgawanyo wa kazi kati ya router na gateway, hifadhi chanzo cha laptop kama kilivyo, na ipe LAN njia ya kurudi.

Ufikiaji wa nyumbani ni huduma moja ya kibinafsi, si njia ya pili ya kutoka mtandaoni. WireGuard huishia kwenye mashine ya Linux nyuma ya router, router huendelea na kazi yake ya sasa, na laptop hutuma kiambishi cha nyumbani pekee kupitia tuneli. Kifaa kipi kinapeleka mbele na kipi huhitimisha ni uamuzi ambao kila kanuni inayofuata inafuata. Ukikosea mgawanyo huu, utarekebisha NAT ambao hukukusudia kuongeza.

Amua nani anapeleka mbele na nani anahitimisha

Router inamiliki mlango wa umma: hupokea pakiti ya UDP na kuipitisha kwa mwenyeji wa Linux. Mwenyeji huyo anamiliki msikilizaji wa WireGuard na uamuzi wa kupeleka ndani ya LAN. Kivitendo upangaji hutuma UDP 51820 kwa 192.168.50.10, na bandari ya programu yenyewe hubaki imefungwa. Kutenganisha majukumu huifanya firewall kuwa fupi.

Andika mpango wa anwani kabla ya kuunda kiolesura. Router 192.168.50.1, gateway 192.168.50.10, huduma 192.168.50.20, tuneli 10.77.0.0/24 na gateway .1 na laptop .2. Wigo wa tuneli haupaswi kuingiliana na mtandao ambao laptop tayari inaufikia, vinginevyo maeneo ya mwisho huwa na utata. NAT ya kiwango cha mwendeshaji au router ya juu inaweza kuzuia ufikiaji unaoingia, na hakuna upitishaji wa bandari wa ndani unaotatua hilo.

Badilishana funguo, kisha pima ukubwa wa AllowedIPs

Tengeneza jozi tofauti ya funguo kwa kila mwisho na uhamishe funguo za umma pekee kupitia njia iliyothibitishwa. Ingizo la peer la gateway huruhusu chanzo cha tuneli cha laptop pekee, kwa sababu LAN ya nyumbani iko nyuma ya gateway na si nyuma ya laptop. Kuweka LAN kwenye ingizo hilo kunaelezea topolojia usiyoijenga.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs ni kiambishi cha nyumbani pamoja na anwani ya tuneli ya gateway, kamwe si 0.0.0.0/0, hivyo kuvinjari kwa kawaida huhifadhi njia yake ya ndani. Shikilia mmiliki mmoja wa usanidi, na kamwe usiunganishe kiolesura kimoja kwa msimamizi wa pili wa mtandao.

Njia ya kurudi ni sehemu ambayo watu huiruka

Muundo huu huhifadhi chanzo cha 10.77.0.2 cha laptop badala ya kukificha kama gateway, kwa hivyo vifaa vya nyumbani lazima vijue jinsi ya kukijibu. Ongeza njia tuli kwenye router ya nyumbani kwa 10.77.0.0/24 na 192.168.50.10 kama hatua inayofuata, na soma kile wg-quick inachotoa kutoka AllowedIPs katika marejeleo yake. Bila njia hiyo, handshake iliyokamilika huishi pamoja na majibu ya programu ambayo hayafiki kamwe.

Ikiwa router haiwezi kubeba njia hiyo, chagua muundo wa kurudi ulioandikwa. Kuongeza NAT kwa utulivu badala yake hubadilisha modeli ya chanzo uliyoandika sasa hivi.

Ruhusu huduma moja, si subneti

Washa upitishaji wa IPv4 kwenye gateway na ushikilie majukumu matatu ya firewall kando: ruhusu msikilizaji wa WireGuard, peleka chanzo cha laptop kwa 192.168.50.20 pekee, na uache sehemu iliyobaki ya mtandao wa nyumbani imefungwa kwa peer huyo. Unganisha kanuni na msimamizi wa firewall unaotumika tayari badala ya kuifuta. Njia ya kiambishi chote cha nyumbani si ruhusa ya kutumia kila kifaa kilichomo.

Uthibitishaji wa programu yenyewe na firewall ya mwenyeji ni lango tofauti. Taja huduma ambayo seti ya kanuni inaruhusu, ili mkaguzi anayefuata aweze kuilinganisha na kazi iliyokusudiwa.

Jaribu kutoka nje, kisha uondoe kwa usafi

Inua profaili kupitia mmiliki wake, thibitisha handshake, kisha endesha programu iliyokusudiwa kutoka mtandao wa nje ulioidhinishwa na uangalie jibu. Jaribu huduma ya nyumbani ambayo lazima ibaki imekataliwa, kwa sababu kanuni inayoruhusu haionekani hadi kitu kitumie. Kwa HTTPS, tumia jina lililo kwenye cheti na uache uthibitishaji uendeshwe; kuandika anwani mbichi na kupita onyo hakuthibitishi chochote kuhusu njia. PersistentKeepalive ni ya hiari: husaidia peer iliyofungwa kwenye NAT baada ya kutokuwa na shughuli, lakini si njia inayokosekana wala marekebisho ya ruhusa.

Anwani ya umma inayobadilika inahitaji masasisho ya DNS, na laptop lazima itatue tena kituo chake cha mwisho baada ya mabadiliko; rekodi mpya za DNS hazihamishi kituo cha mwisho kilichosanidiwa. Ondoa laptop kwa kuondoa peer yake kutoka usanidi uliohifadhiwa na unaotumika; kufuta profaili ya laptop pekee hakubatilishi idhini ya gateway.

Makala zinazohusiana