Домашньому тунелю WireGuard потрібен зворотний маршрут із LAN

Доступ додому — це одна приватна послуга, а не другий вихід в інтернет. WireGuard завершується на машині Linux за маршрутизатором, маршрутизатор зберігає свою поточну роль, а ноутбук надсилає через тунель лише домашній префікс. Який пристрій пересилає, а який завершує — це рішення, з якого випливає кожне наступне правило. Помилитеся в цьому поділі — будете налагоджувати NAT, який не збиралися додавати.

Визначте, хто пересилає і хто завершує

Публічний вхід належить маршрутизатору: він приймає пакет UDP і передає його хосту Linux. Цей хост володіє слухачем WireGuard і рішенням про пересилання в LAN. На практиці зіставлення надсилає UDP 51820 на 192.168.50.10, а власний порт застосунку залишається закритим. Розділення ролей тримає міжмережевий екран коротким.

Запишіть план адрес до створення інтерфейсу. Маршрутизатор 192.168.50.1, шлюз 192.168.50.10, служба 192.168.50.20, тунель 10.77.0.0/24 зі шлюзом .1 і ноутбуком .2. Діапазон тунелю не повинен перетинатися з мережею, до якої ноутбук уже дістає, інакше призначення стають неоднозначними. Carrier-grade NAT або вищий маршрутизатор можуть блокувати вхідний доступ, і жодне локальне переспрямування порту цього не виправить.

Обміняйтеся ключами, потім задайте розмір AllowedIPs

Створіть окрему пару ключів для кожного кінця і передавайте лише відкриті ключі перевіреним каналом. Запис peer на шлюзі дозволяє тільки джерело тунелю ноутбука, бо домашня LAN розташована за шлюзом, а не за ноутбуком. Якщо вмістити LAN у цей запис, опис топології буде хибним.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs — це домашній префікс плюс адреса тунелю шлюзу, ніколи не 0.0.0.0/0, тож звичайний перегляд зберігає свій локальний шлях. Тримайте одного власника конфігурації і ніколи не підключайте той самий інтерфейс до другого менеджера мережі.

Зворотний маршрут — та частина, яку люди пропускають

Ця схема зберігає джерело 10.77.0.2 ноутбука, а не маскує його під шлюз, тому домашні пристрої мають знати, як відповісти. Додайте статичний маршрут на домашньому маршрутизаторі для 10.77.0.0/24 з 192.168.50.10 як наступним кроком і прочитайте, що wg-quick виводить з AllowedIPs у своїй довідці. Без цього маршруту завершене рукостискання співіснує з відповідями застосунку, які ніколи не надходять.

Якщо маршрутизатор не може нести цей маршрут, виберіть задокументовану схему повернення. Тихе додавання NAT натомість змінює модель джерела, яку ви щойно записали.

Дозвольте одну службу, а не підмережу

Увімкніть пересилання IPv4 на шлюзі й тримайте три обов'язки міжмережевого екрана окремо: пропустіть слухач WireGuard, пересилайте джерело ноутбука лише на 192.168.50.20 і залиште решту домашньої мережі закритою для цього peer. Інтегруйте правила в уже використовуваний менеджер екрана, а не очищайте його. Маршрут для всього домашнього префікса не є дозволом використовувати кожен пристрій усередині.

Власна автентифікація застосунку й екран хоста — це окремі ворота. Назвіть службу, яку дозволяє набір правил, щоб наступний рецензент міг звірити її із задуманим завданням.

Перевірте ззовні, потім виведіть чисто

Підніміть профілі через їхнього власника, підтвердьте рукостискання, потім запустіть потрібний застосунок із схваленої зовнішньої мережі й перевірте відповідь. Спробуйте домашню службу, яка має залишитися забороненою, адже дозвільне правило невидиме, доки щось ним не скористається. Для HTTPS використовуйте ім'я із сертифіката й дайте перевірці виконатися; введення сирої адреси й проходження попередження нічого не доводять про шлях. PersistentKeepalive необов'язковий: він допомагає peer за NAT після простою, але це не відсутній маршрут і не виправлення прав.

Динамічна публічна адреса потребує оновлень DNS, і ноутбук має заново розв'язати свою кінцеву точку після зміни; нові записи DNS не переміщують налаштовану кінцеву точку. Виведіть ноутбук, вилучивши його peer зі збереженої та активної конфігурації; видалення лише профілю ноутбука не відкликає авторизацію шлюзу.