ఇంటి WireGuard సొరంగానికి LAN నుండి తిరిగి వెళ్లే మార్గం కావాలి

ఇంటికి యాక్సెస్ ఒక ప్రైవేట్ సేవ, రెండవ ఇంటర్నెట్ నిష్క్రమణ కాదు. WireGuard రౌటర్ వెనుక ఉన్న Linux మెషీన్లో ముగుస్తుంది, రౌటర్ తన ప్రస్తుత పనిని కొనసాగిస్తుంది, మరియు ల్యాప్టాప్ సొరంగం ద్వారా ఇంటి ప్రిఫిక్స్ను మాత్రమే పంపుతుంది. ఏ పరికరం ఫార్వర్డ్ చేస్తుంది మరియు ఏది ముగిస్తుంది అనేది తరువాతి ప్రతి నియమం అనుసరించే నిర్ణయం. ఈ విభజన తప్పైతే, జోడించాలని అనుకోని NATని డీబగ్ చేస్తారు.

ఎవరు ఫార్వర్డ్ చేస్తారు మరియు ఎవరు ముగిస్తారో నిర్ణయించండి

పబ్లిక్ ప్రవేశం రౌటర్ వద్ద ఉంది: అది UDP ప్యాకెట్ను స్వీకరించి Linux హోస్ట్కు ఇస్తుంది. ఆ హోస్ట్ వద్ద WireGuard శ్రోత మరియు LAN లోకి ఫార్వర్డ్ చేసే నిర్ణయం ఉన్నాయి. ఆచరణలో మ్యాపింగ్ UDP 51820ని 192.168.50.10కి పంపుతుంది, మరియు అప్లికేషన్ స్వంత పోర్ట్ మూసి ఉంటుంది. పాత్రలను వేరుగా ఉంచడం ఫైర్వాల్ను చిన్నదిగా ఉంచుతుంది.

ఇంటర్ఫేస్ సృష్టించే ముందు చిరునామా ప్రణాళిక రాయండి. రౌటర్ 192.168.50.1, గేట్వే 192.168.50.10, సేవ 192.168.50.20, సొరంగం 10.77.0.0/24 గేట్వే .1 మరియు ల్యాప్టాప్ .2తో. సొరంగ పరిధి ల్యాప్టాప్ ఇప్పటికే చేరే నెట్వర్క్తో అతివ్యాప్తి కాకూడదు, లేకపోతే గమ్యాలు అస్పష్టంగా మారుతాయి. క్యారియర్-గ్రేడ్ NAT లేదా పై రౌటర్ ఇన్కమింగ్ యాక్సెస్ను నిరోధించవచ్చు, మరియు ఏ స్థానిక పోర్ట్ ఫార్వర్డింగ్ దాన్ని సరిచేయదు.

కీలను మార్పిడి చేయండి, తర్వాత AllowedIPs పరిమాణం నిర్ణయించండి

ప్రతి చివరకు వేరే కీ జోడీ సృష్టించి, ధృవీకరించిన ఛానెల్ ద్వారా పబ్లిక్ కీలను మాత్రమే తరలించండి. గేట్వే peer ఎంట్రీ ల్యాప్టాప్ సొరంగ మూలానికి మాత్రమే అనుమతి ఇస్తుంది, ఎందుకంటే ఇంటి LAN ల్యాప్టాప్ వెనుక కాదు, గేట్వే వెనుక ఉంది. ఆ ఎంట్రీలో LAN పెట్టడం మీరు నిర్మించని టోపోలజీని వివరిస్తుంది.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs అంటే ఇంటి ప్రిఫిక్స్ మరియు గేట్వే సొరంగ చిరునామా, ఎప్పుడూ 0.0.0.0/0 కాదు, కాబట్టి సాధారణ బ్రౌజింగ్ తన స్థానిక మార్గాన్ని నిలుపుకుంటుంది. ఒకే కాన్ఫిగరేషన్ యజమానిని ఉంచండి, మరియు అదే ఇంటర్ఫేస్ను రెండవ నెట్వర్క్ మేనేజర్కు ఎప్పుడూ కలపకండి.

తిరిగి వెళ్లే మార్గమే ప్రజలు దాటవేసే భాగం

ఈ డిజైన్ ల్యాప్టాప్ 10.77.0.2 మూలాన్ని గేట్వేగా ముసుగు వేయకుండా ఉంచుతుంది, కాబట్టి ఇంటి పరికరాలు దానికి ఎలా ప్రతిస్పందించాలో తెలిసి ఉండాలి. ఇంటి రౌటర్పై 10.77.0.0/24 కోసం 192.168.50.10 తదుపరి హాప్గా స్థిర మార్గం జోడించండి, మరియు wg-quick AllowedIPs నుండి ఏమి పొందుతుందో దాని సూచనలో చదవండి. ఆ మార్గం లేకుంటే, పూర్తయిన హ్యాండ్షేక్ ఎప్పుడూ రాని అప్లికేషన్ ప్రతిస్పందనలతో పాటు ఉంటుంది.

రౌటర్ ఆ మార్గాన్ని మోయలేకపోతే, డాక్యుమెంట్ చేసిన తిరిగి వెళ్లే డిజైన్ను ఎంచుకోండి. బదులుగా నిశ్శబ్దంగా NAT జోడించడం మీరు ఇప్పుడే రాసిన మూల నమూనాను మారుస్తుంది.

ఒక సేవకు అనుమతి ఇవ్వండి, సబ్నెట్కు కాదు

గేట్వేపై IPv4 ఫార్వర్డింగ్ ప్రారంభించి, ఫైర్వాల్ మూడు బాధ్యతలను వేరుగా ఉంచండి: WireGuard శ్రోతను అనుమతించండి, ల్యాప్టాప్ మూలాన్ని 192.168.50.20కి మాత్రమే పంపండి, మరియు ఇంటి నెట్వర్క్ మిగిలిన భాగాన్ని ఆ peer కోసం మూసి ఉంచండి. నియమాలను ఇప్పటికే ఉపయోగిస్తున్న ఫైర్వాల్ మేనేజర్లో చేర్చండి, దాన్ని ఖాళీ చేయకండి. మొత్తం ఇంటి ప్రిఫిక్స్కు మార్గం అనేది దానిలోని ప్రతి పరికరాన్ని ఉపయోగించే అనుమతి కాదు.

అప్లికేషన్ స్వంత ప్రామాణీకరణ మరియు హోస్ట్ ఫైర్వాల్ వేరే ద్వారం. నియమ సమితి అనుమతించే సేవను పేరు పెట్టండి, తద్వారా తదుపరి సమీక్షకుడు దాన్ని ఉద్దేశించిన పనితో పోల్చగలరు.

బయటి నుండి పరీక్షించి, తర్వాత శుభ్రంగా ఉపసంహరించండి

ప్రొఫైళ్లను వాటి యజమాని ద్వారా పైకి తీసుకురండి, హ్యాండ్షేక్ను నిర్ధారించండి, తర్వాత ఆమోదించిన బయటి నెట్వర్క్ నుండి ఉద్దేశించిన అప్లికేషన్ను నడిపించి ప్రతిస్పందనను తనిఖీ చేయండి. తిరస్కరించబడి ఉండాల్సిన ఇంటి సేవను కూడా ప్రయత్నించండి, ఎందుకంటే అనుమతించే నియమం ఏదో దాన్ని ఉపయోగించే వరకు కనిపించదు. HTTPS కోసం ధృవపత్రంపై ఉన్న పేరును ఉపయోగించి ధృవీకరణ నడవనివ్వండి; ముడి చిరునామా టైప్ చేసి హెచ్చరికను దాటడం మార్గం గురించి ఏమీ నిరూపించదు. PersistentKeepalive ఐచ్ఛికం: నిష్క్రియ సమయం తర్వాత NATలో చిక్కుకున్న peerకు సహాయపడుతుంది, కానీ అది తప్పిపోయిన మార్గం కాదు, అనుమతి సవరణ కాదు.

క్రియాశీల పబ్లిక్ చిరునామాకు DNS నవీకరణలు అవసరం, మరియు మార్పు తర్వాత ల్యాప్టాప్ తన ముగింపు బిందువును మళ్లీ పరిష్కరించుకోవాలి; కొత్త DNS రికార్డులు కాన్ఫిగర్ చేసిన ముగింపు బిందువును కదిలించవు. నిల్వ చేసిన మరియు క్రియాశీల కాన్ఫిగరేషన్ నుండి దాని peerను తీసివేసి ల్యాప్టాప్ను ఉపసంహరించండి; ల్యాప్టాప్ ప్రొఫైల్ను మాత్రమే తొలగించడం గేట్వే అధికారాన్ని రద్దు చేయదు.