Uy WireGuard tunneli LANdan qaytish yoʻlini talab qiladi

Qoʻl berish — oson qismi. Router va shlyuz oʻrtasida ish taqsimotini belgilang, noutbuk manbasini saqlab qoling va LANga qaytish yoʻlini bering.

Uyga kirish — bu bitta xususiy xizmat, ikkinchi internet chiqishi emas. WireGuard router orqasidagi Linux mashinasida tugaydi, router oʻz ishini saqlab qoladi, noutbuk esa tunnel orqali faqat uy prefiksini yuboradi. Qaysi qurilma yoʻnaltirishi va qaysi biri tugatishi — keyingi har bir qoida shu qarorga tayanadi. Bu taqsimotni xato qilsangiz, qoʻshishni niyat qilmagan NAT bilan shugʻullanasi boʻlasiz.

Kim yoʻnaltirishi va kim tugatishini belgilang

Ommaviy kirish routerga tegishli: u UDP paketini qabul qiladi va Linux xostiga uzatadi. Oʻsha xost WireGuard tinglovchisi va LANga yoʻnaltirish qaroriga egalik qiladi. Amalda xaritalash UDP 51820ni 192.168.50.10ga yuboradi, ilovaning oʻz porti esa yopiq qoladi. Rollarni ajratish xavfsizlik devorini qisqa saqlaydi.

Interfeys yaratishdan oldin manzil rejasini yozing. Router 192.168.50.1, shlyuz 192.168.50.10, xizmat 192.168.50.20, tunnel 10.77.0.0/24 shlyuz .1 va noutbuk .2 bilan. Tunnel diapazoni noutbuk allaqachon yetib boradigan tarmoq bilan kesishmasligi kerak, aks holda manzillar noaniq boʻlib qoladi. Operator darajasidagi NAT yoki yuqoridagi router kirishni toʻsib qoʻyishi mumkin va hech qanday mahalliy port yoʻnaltirishi buni tuzatmaydi.

Kalitlarni almashtiring, soʻng AllowedIPs hajmini belgilang

Har bir uchi uchun alohida kalit jufti yarating va faqat ochiq kalitlarni tasdiqlangan kanal orqali oʻtkazing. Shlyuzning peer yozuvi faqat noutbuk tunnel manbasiga ruxsat beradi, chunki uy LANi noutbukning emas, shlyuzning orqasida. LANni oʻsha yozuvga qoʻyish siz qurmagan topologiyani tasvirlaydi.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs — uy prefiksi va shlyuz tunnel manzili, hech qachon 0.0.0.0/0 emas, shuning uchun oddiy koʻrish mahalliy yoʻlini saqlaydi. Bitta konfiguratsiya egasini saqlang va bir xil interfeysni hech qachon ikkinchi tarmoq menejeriga ulanmang.

Qaytish yoʻli — odamlar tashlab ketadigan qism

Bu dizayn noutbukning 10.77.0.2 manbasini shlyuz sifatida yashirmasdan saqlaydi, shuning uchun uy qurilmalari unga qanday javob berishni bilishi kerak. Uy routeriga 10.77.0.0/24 uchun keyingi sakrash 192.168.50.10 boʻlgan statik yoʻl qoʻshing va wg-quick AllowedIPsdan nima chiqarishini uning maʼlumotnomasida oʻqing. Oʻsha yoʻl boʻlmasa, tugallangan qoʻl berish hech qachon kelmaydigan ilova javoblari bilan birga mavjud boʻladi.

Router bu yoʻlni koʻtara olmasa, hujjatlashtirilgan qaytish dizaynini tanlang. Jimgina NAT qoʻshish esa hozir yozgan manba modelini oʻzgartiradi.

Bitta xizmatga ruxsat bering, quyi tarmoqqa emas

Shlyuzda IPv4 yoʻnaltirishni yoqing va xavfsizlik devorining uch vazifasini alohida saqlang: WireGuard tinglovchisini oʻtkazing, noutbuk manbasini faqat 192.168.50.20ga yoʻnaltiring va uy tarmogʻining qolgan qismini oʻsha peer uchun yopiq qoldiring. Qoidalarni allaqachon ishlatilayotgan xavfsizlik devori menejeriga integratsiya qiling, uni tozalamang. Butun uy prefiksi uchun yoʻl uning ichidagi har bir qurilmadan foydalanish ruxsati emas.

Ilovaning oʻz autentifikatsiyasi va xost xavfsizlik devori alohida darvoza. Qoidalar toʻplami ruxsat bergan xizmatni nomlang, keyingi koʻrib chiquvchi uni moʻljallangan vazifa bilan solishtira olsin.

Tashqaridan sinab koʻring, soʻng toza chiqaring

Profillarni egasi orqali koʻtaring, qoʻl berishni tasdiqlang, soʻng moʻljallangan ilovani tasdiqlangan tashqi tarmoqdan ishga tushirib javobni tekshiring. Rad etilgan holda qolishi kerak boʻlgan uy xizmatini ham sinab koʻring, chunki ruxsat beruvchi qoida biror narsa undan foydalanmaguncha koʻrinmaydi. HTTPS uchun sertifikatdagi nomdan foydalaning va tekshiruv ishlashiga yoʻl qoʻying; xom manzilni terish va ogohlantirishdan oʻtish yoʻl haqida hech narsani isbotlamaydi. PersistentKeepalive ixtiyoriy: boʻsh vaqtdan keyin NATga bogʻlangan peerga yordam beradi, lekin bu yoʻqolgan yoʻl ham, ruxsat tuzatishi ham emas.

Dinamik ommaviy manzil DNS yangilanishlarini talab qiladi va noutbuk oʻzgarishdan keyin oxirgi nuqtasini qayta hal qilishi kerak; yangi DNS yozuvlari sozlangan oxirgi nuqtani koʻchirmaydi. Noutbukni saqlangan va faol konfiguratsiyadan uning peerini olib tashlab chiqaring; faqat noutbuk profilini oʻchirish shlyuz avtorizatsiyasini bekor qilmaydi.

O'xshash maqolalar