Ang tunnel na WireGuard sa bahay ay kailangan ng rutang pabalik mula sa LAN

Ang pag-access sa bahay ay isang pribadong serbisyo, hindi isang pangalawang labasan sa internet. Nagtatapos ang WireGuard sa isang Linux box sa likod ng router, pinapanatili ng router ang dati nitong trabaho, at ipinapadala ng laptop ang prefix ng bahay lamang sa tunnel. Aling device ang nagpapasa at alin ang nagtatapos ang desisyong sinusundan ng bawat susunod na tuntunin. Kapag mali ang hatian na ito, magde-debug ka ng NAT na hindi mo naman balak idagdag.

Magpasya kung sino ang nagpapasa at sino ang nagtatapos

Pagmamay-ari ng router ang pampublikong pasukan: tinatanggap nito ang UDP packet at ipinapasa sa Linux host. Pagmamay-ari ng host na iyon ang tagapakinig ng WireGuard at ang desisyon sa pagpapasa papasok sa LAN. Sa praktika, ipinapadala ng mapping ang UDP 51820 sa 192.168.50.10, at nananatiling sarado ang sariling port ng aplikasyon. Ang paghihiwalay ng mga tungkulin ay nagpapaikli sa firewall.

Isulat ang plano ng address bago gumawa ng interface. Router 192.168.50.1, gateway 192.168.50.10, serbisyo 192.168.50.20, tunnel 10.77.0.0/24 na may gateway .1 at laptop .2. Hindi dapat mag-overlap ang saklaw ng tunnel sa network na naaabot na ng laptop, kung hindi nagiging malabo ang mga destinasyon. Maaaring harangin ng carrier-grade NAT o ng router sa itaas ang papasok na access, at walang lokal na port forwarding ang makakapag-ayos niyon.

Magpalitan ng mga key, pagkatapos sukatin ang AllowedIPs

Gumawa ng hiwalay na pares ng key sa bawat dulo at ilipat lamang ang mga pampublikong key sa beripikadong channel. Pinapayagan ng peer entry ng gateway ang pinagmulan ng tunnel ng laptop lamang, dahil ang LAN ng bahay ay nasa likod ng gateway at hindi sa likod ng laptop. Ang ilagay ang LAN sa entry na iyon ay naglalarawan ng topolohiyang hindi mo ginawa.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

Ang AllowedIPs ay ang prefix ng bahay at ang tunnel address ng gateway, hindi kailanman 0.0.0.0/0, kaya napapanatili ng ordinaryong pag-browse ang lokal nitong landas. Panatilihin ang isang may-ari ng configuration, at huwag kailanman ikabit ang parehong interface sa pangalawang tagapamahala ng network.

Ang rutang pabalik ang bahaging nilalaktawan ng mga tao

Pinapanatili ng disenyong ito ang pinagmulang 10.77.0.2 ng laptop sa halip na itago ito bilang gateway, kaya dapat malaman ng mga device sa bahay kung paano ito sagutin. Magdagdag ng static na ruta sa router ng bahay para sa 10.77.0.0/24 na may 192.168.50.10 bilang susunod na hop, at basahin kung ano ang hinango ng wg-quick mula sa AllowedIPs sa sanggunian nito. Kung wala ang rutang iyon, ang kumpletong handshake ay kasabay ng mga sagot ng aplikasyon na hindi dumarating.

Kung hindi kaya ng router na dalhin ang rutang iyon, pumili ng dokumentadong disenyo ng pagbabalik. Ang tahimik na pagdaragdag ng NAT sa halip ay binabago ang modelong pinagmulan na isinulat mo lang.

Payagan ang isang serbisyo, hindi ang subnet

Paganahin ang IPv4 forwarding sa gateway at panatilihing hiwalay ang tatlong tungkulin ng firewall: papasukin ang tagapakinig ng WireGuard, ipasa ang pinagmulan ng laptop sa 192.168.50.20 lamang, at iwanang sarado ang natitirang bahagi ng network ng bahay para sa peer na iyon. Isama ang mga tuntunin sa tagapamahala ng firewall na ginagamit na sa halip na burahin ito. Ang ruta para sa buong prefix ng bahay ay hindi pahintulot na gamitin ang bawat device sa loob nito.

Ang pagpapatunay ng aplikasyon mismo at ang firewall ng host ay hiwalay na pintuan. Pangalanan ang serbisyong pinapayagan ng hanay ng tuntunin, upang masuri ito ng susunod na tagasuri laban sa inilaan na gawain.

Subukan mula sa labas, pagkatapos ay alisin nang malinis

Itaas ang mga profile sa pamamagitan ng may-ari nila, kumpirmahin ang handshake, pagkatapos ay isagawa ang inilaan na aplikasyon mula sa aprubadong panlabas na network at suriin ang sagot. Subukan ang isang serbisyo sa bahay na dapat manatiling tinatanggihan, dahil ang mapagpayag na tuntunin ay hindi nakikita hanggang may gumamit nito. Para sa HTTPS, gamitin ang pangalan sa sertipiko at hayaang tumakbo ang pagpapatunay; ang pag-type ng hilaw na address at paglusot sa babala ay walang pinapatunayan tungkol sa landas. Ang PersistentKeepalive ay opsyonal: tumutulong sa peer na nakatali sa NAT pagkatapos ng idle, ngunit hindi ito nawawalang ruta o pagwawasto ng pahintulot.

Ang dinamikong pampublikong address ay nangangailangan ng mga update sa DNS, at kailangang lutasin muli ng laptop ang endpoint nito pagkatapos ng pagbabago; hindi ginagalaw ng mga bagong DNS record ang naka-configure na endpoint. Alisin ang laptop sa pamamagitan ng pagtanggal ng peer nito mula sa naka-save at aktibong configuration; ang pagbura lamang ng profile ng laptop ay hindi nagbabawi ng awtorisasyon ng gateway.