WireGuard: configurar VPN de acceso remoto

Guía completa para configurar una VPN de acceso remoto WireGuard en VergeOS, incluida la creación de la interfaz, reglas PAT, configuración SNAT y configuración de pares cliente.

Aquí están las instrucciones sobre cómo configurar una VPN de acceso remoto usando las capacidades integradas de WireGuard de VergeOS. Más información se puede encontrar en la sección de Ayuda de la interfaz de usuario de VergeOS.

Cree la configuración de WireGuard en su red interna

Puede usar una Red Interna existente o crear una nueva Red Interna.

En la interfaz de Verge OS, navegue a Redes -> Internas y vea o haga doble clic en la Red Interna que desea usar.
En el menú de la izquierda, haga clic en WireGuard (VPN).
Haga clic en Agregar nueva interfaz.
Ingrese la siguiente información:
- Ingrese un Nombre único
- Introduzca un Descripción (opcional).
- Marque Habilitado.
- Ingrese la Dirección IP para usarlo para esta Red Interna de WireGuard. Este debe ser esté separado de su esquema de IP de red interna existente. Por ejemplo, si su Red Interna está usando 192.168.0.1/24, debe elegir un esquema de IP único diferente como 192.168.255.1/24.
- Ingrese la Puerto de escucha para usar al conectarse a la VPN (Predeterminado: 51820). Este es el puerto que utilizará en su red Externa para enviar tráfico VPN a su Red Interna.
- Introduzca un Clave privada o déjelo en blanco para generar una clave automáticamente.
- Ingrese una IP del extremo o déjelo en blanco, y el sistema intentará detectar automáticamente la IP. Le recomendamos encarecidamente que ingrese la IP manualmente para garantizar la configuración correcta. Esta IP es la IP externa de su entorno, normalmente la misma IP que su interfaz de usuario. Puede encontrar su IP externa yendo a Redes -> Externas y viendo su red Externa. En la sección del enrutador de red, debería ser la dirección IP como se muestra a continuación:
Haga clic en Enviar para agregar la nueva interfaz.
Después de agregar la interfaz, lo llevará al panel donde verá su nueva interfaz.
Haga clic en Aplicar reglas en la barra de menú izquierda para aplicar las reglas del firewall. Las reglas creadas automáticamente aceptarán tráfico UDP entrante en el puerto 51820 tanto a la IP del router como a la IP DMZ de la Red interna.

Regla PAT de red externa

Para que la red interna se conecte, necesitamos una PAT (Traducción de direcciones de puerto) externa para traducir el puerto (51820 predeterminado) a la red interna.

Agregar regla PAT externa

Desde el red externa Panel, haga clic en Reglas en el menú de la izquierda.
Haga clic en Nuevo en el menú de la izquierda.
Introduzca un Nombre que será útil para la administración futura.
Opcionalmente, un Descripción se puede ingresar para registrar información administrativa adicional.
En el Acción desplegable, seleccione Traducir.
En el Protocolo desplegable, seleccione UDP.
En el Dirección desplegable, seleccione Entrante.

Origen:

En el Tipo desplegable, seleccione Cualquiera/Ninguno. Opcionalmente, puede bloquear por origen el tráfico VPN aquí si es necesario.

Destino:

En el Tipo desplegable, seleccione Mi IP del enrutador. Si está dentro de un inquilino, cámbielo a Mis direcciones IP y elija la IP de la UI del inquilino. Esto debería ser lo mismo que la IP del extremo utilizada arriba. Si usa una IP diferente a la IP de la interfaz de usuario, cree una SNAT regla en la Externa red del proveedor.
En el Puertos/Rangos de destino campo, ingrese el Puerto (Puerto predeterminado: 51820).

Destino:

En el Tipo desplegable, seleccione IP de DMZ de la otra red.
En el Red de destino desplegable, seleccione la Red de destino.
Deje el Puertos/Rangos de destino campo en blanco.
Haga clic en Enviar y Aplicar reglas en el menú de la izquierda para activar la nueva regla.

Regla SNAT (si no se usa la IP de la interfaz de usuario)

Si está agregando WireGuard y no está usando la dirección IP de la interfaz de usuario, recomendamos crear una SNAT regla en la Externa red del proveedor.

Desde el red externa Panel, haga clic en Reglas en el menú de la izquierda.
Haga clic en Nuevo en el menú de la izquierda.
Introduzca un Nombre que será útil para la administración futura.
Opcionalmente, introduzca un Descripción para obtener información adicional.
En el Acción desplegable, seleccione Traducir.
En el Protocolo desplegable, seleccione UDP.
En el Dirección desplegable, seleccione Saliente.

Origen:

En el Tipo desplegable, seleccione IP de DMZ de la otra red.
En el Red desplegable, seleccione la Red Interna en la que está WireGuard.
Deje el Puertos/Rangos de origen campo en blanco.

Destino:

En el Tipo desplegable, seleccione Cualquiera / Ninguno.
Deje el Puertos/Rangos de destino campo en blanco.

Destino:

En el Tipo desplegable, seleccione Mis direcciones IP.
En el Dirección IP desplegable, seleccione la dirección IP que desea usar.
Haga clic en Enviar y Aplicar reglas para habilitar la regla SNAT.

Esta regla SNAT obliga a que todo el tráfico saliente desde la IP DMZ de la red interna use la IP correcta. De forma predeterminada, sale por la IP de la interfaz de usuario, lo que causa problemas de flapping.

Agregar un par de usuario remoto

Configurarás un par para cada usuario que se conecte a la VPN.

Desde la pantalla de la interfaz de WireGuard, haga clic en Agregar nuevo par.
Asigne un Nombre al par, como el nombre del usuario remoto.
Opcionalmente, ingrese un Descripción.
Consulte la Configuración de par generada automáticamente casilla de verificación.
Ingrese la Punto final para el par (la dirección IP, nombre de host o URL orientada al exterior).
Para IPs permitidas, ingrese la IP /32 para este par.
En el Configurar firewall desplegable, seleccione Usuario remoto.
Haga clic en Enviar para guardar la entrada del par.