Evdeki WireGuard tünelinin LAN'dan dönüş yoluna ihtiyacı var

Eve erişim tek bir özel hizmettir, ikinci bir internet çıkışı değildir. WireGuard yönlendiricinin arkasındaki bir Linux makinesinde sonlanır, yönlendirici mevcut işini korur ve dizüstü bilgisayar tünelden yalnızca ev önekini gönderir. Hangi cihazın ilettiği ve hangisinin sonlandırdığı, sonraki her kuralın dayandığı karardır. Bu bölünmeyi yanlış yaparsanız, eklemeyi hiç düşünmediğiniz NAT'ta hata ayıklarsınız.

Kimin ilettiğine ve kimin sonlandırdığına karar verin

Genel girişi yönlendirici elinde tutar: UDP paketini kabul eder ve Linux ana bilgisayarına geçirir. O ana bilgisayar WireGuard dinleyicisini ve LAN'a iletme kararını elinde tutar. Uygulamada eşleme UDP 51820'yi 192.168.50.10'a gönderir ve uygulamanın kendi bağlantı noktası kapalı kalır. Rolleri ayırmak güvenlik duvarını kısa tutar.

Arayüzü oluşturmadan önce adres planını yazın. Yönlendirici 192.168.50.1, ağ geçidi 192.168.50.10, hizmet 192.168.50.20, tünel 10.77.0.0/24 ve ağ geçidi .1, dizüstü .2. Tünel aralığı dizüstü bilgisayarın zaten ulaştığı bir ağla çakışmamalıdır, yoksa hedefler belirsizleşir. Operatör düzeyinde NAT veya üstteki yönlendirici gelen erişimi engelleyebilir ve hiçbir yerel bağlantı noktası yönlendirmesi bunu düzeltmez.

Anahtarları değiştirin, sonra AllowedIPs boyutunu belirleyin

Her uç için ayrı bir anahtar çifti oluşturun ve yalnızca ortak anahtarları doğrulanmış bir kanaldan taşıyın. Ağ geçidinin peer kaydı yalnızca dizüstü bilgisayarın tünel kaynağına izin verir, çünkü ev LAN'ı dizüstü bilgisayarın değil ağ geçidinin arkasındadır. LAN'ı o kayda koymak, inşa etmediğiniz bir topolojiyi tanımlar.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs, ev öneki artı ağ geçidinin tünel adresidir, asla 0.0.0.0/0 değildir, böylece sıradan gezinme yerel yolunu korur. Tek bir yapılandırma sahibi tutun ve aynı arayüzü asla ikinci bir ağ yöneticisine bağlamayın.

Dönüş yolu, insanların atladığı kısımdır

Bu tasarım dizüstü bilgisayarın 10.77.0.2 kaynağını ağ geçidi olarak maskelemek yerine korur, bu yüzden ev cihazları ona nasıl yanıt vereceğini bilmelidir. Ev yönlendiricisine 10.77.0.0/24 için sonraki atlama 192.168.50.10 olacak şekilde statik bir yol ekleyin ve wg-quick'in AllowedIPs'ten ne türettiğini onun başvurusunda okuyun. O yol olmadan, tamamlanmış bir el sıkışma hiç ulaşmayan uygulama yanıtlarıyla bir arada bulunur.

Yönlendirici o yolu taşıyamıyorsa, belgelenmiş bir dönüş tasarımı seçin. Sessizce NAT eklemek bunun yerine az önce yazdığınız kaynak modelini değiştirir.

Bir hizmete izin verin, alt ağa değil

Ağ geçidinde IPv4 iletmeyi açın ve güvenlik duvarının üç görevini ayrı tutun: WireGuard dinleyicisini geçirin, dizüstü bilgisayarın kaynağını yalnızca 192.168.50.20'ye iletin ve ev ağının geri kalanını o peer için kapalı bırakın. Kuralları zaten kullanılan güvenlik duvarı yöneticisine dahil edin, onu boşaltmayın. Tüm ev öneki için bir yol, içindeki her cihazı kullanma izni değildir.

Uygulamanın kendi kimlik doğrulaması ve ana bilgisayarın güvenlik duvarı ayrı bir kapıdır. Kural kümesinin izin verdiği hizmeti adlandırın, böylece bir sonraki gözden geçiren onu amaçlanan görevle karşılaştırabilir.

Dışarıdan test edin, sonra temiz biçimde çıkarın

Profilleri sahipleri aracılığıyla başlatın, el sıkışmayı doğrulayın, sonra amaçlanan uygulamayı onaylanmış bir dış ağdan çalıştırıp yanıtı denetleyin. Reddedilmiş kalması gereken bir ev hizmetini deneyin, çünkü izin veren kural, biri onu kullanana kadar görünmez. HTTPS için sertifikadaki adı kullanın ve doğrulamanın çalışmasına izin verin; ham adresi yazıp uyarıyı geçmek yol hakkında hiçbir şey kanıtlamaz. PersistentKeepalive isteğe bağlıdır: boşta kaldıktan sonra NAT'a bağlı bir peer'e yardımcı olur, ancak eksik bir yol ya da izin düzeltmesi değildir.

Dinamik bir genel adres DNS güncellemeleri gerektirir ve dizüstü bilgisayar bir değişiklikten sonra bitiş noktasını yeniden çözmelidir; yeni DNS kayıtları yapılandırılmış bir bitiş noktasını taşımaz. Dizüstü bilgisayarı, peer'ini kayıtlı ve etkin yapılandırmadan kaldırarak çıkarın; yalnızca dizüstü profilini silmek ağ geçidinin yetkisini iptal etmez.