Collegamento dell’ufficio

RequisitiCopia il link alla sezione

Usa un router con WireGuard, inoltro IPv4, instradamento basato su regole e controlli firewall. Nell’account deve essere disponibile un gateway. Contatta l’assistenza se non ne compare nessuno.

Le sottoreti dell’ufficio devono usare intervalli IPv4 privati RFC 1918. Un account supporta fino a 16 interconnessioni, ciascuna con un massimo di 16 sottoreti non sovrapposte. Interconnessioni diverse possono riutilizzare la stessa sottorete.

Chiavi del routerCopia il link alla sezione

Genera una coppia di chiavi WireGuard sul router. Su Linux:

umask 077
wg genkey > office-private.key
wg pubkey < office-private.key > office-public.key

Conserva la chiave privata sul router. In Loclix incollerai solo la chiave pubblica.

Configurazione dell’interconnessioneCopia il link alla sezione

1. Apri Private Connect nell’account.
2. Seleziona Create interconnect.
3. Inserisci un nome.
4. Seleziona un gateway.
5. Inserisci le sottoreti IPv4 dell’ufficio oppure genera un intervallo dal numero di client.
6. Inserisci la chiave pubblica del router.
7. Seleziona Create interconnect.

Apri Manage interconnect e copia il modello del tunnel per l’ufficio. Sostituisci <OFFICE_PRIVATE_KEY> con la chiave privata del router e limita l’accesso al file risultante.

Il modello include endpoint, chiave pubblica del gateway, indirizzi del tunnel e DNS, e un MTU di 1380 byte. Usa i valori forniti: cambiare il gateway assegnato può modificarne indirizzi e porta.

Consulta Sottorete dell’ufficio e DHCP per gli indirizzi dei client.

Route dell’ufficioCopia il link alla sezione

Configura il router seguendo la documentazione del produttore:

• Abilita l’inoltro IPv4 e instrada il traffico Internet dell’ufficio attraverso WireGuard.
• Mantieni l’endpoint pubblico del gateway raggiungibile tramite la connessione Internet dell’ufficio.
• Escludi le reti locali e la gestione del router dalla route predefinita del tunnel.
• Configura i client perché usino l’indirizzo DNS del tunnel.
• Conserva gli IP sorgente dei client attraverso il tunnel; non applicare NAT sorgente sul router dell’ufficio.

Loclix esegue il NAT sul gateway. Applicarlo prima del tunnel raggruppa l’utilizzo dei client sotto l’indirizzo del router.

AllowedIPs = 0.0.0.0/0 nel modello consente le destinazioni Internet attraverso il peer. Devi comunque configurare inoltro, DNS dei client e regole firewall. Sono accettati come sorgenti solo le sottoreti dell’ufficio salvate e l’indirizzo del tunnel assegnato al router.

Prevenzione dell’aggiramentoCopia il link alla sezione

Configura un kill switch sul router per bloccare il traffico Internet dell’ufficio fuori da WireGuard, consentendo al contempo l’endpoint del gateway sulla connessione ordinaria. Blocca l’accesso Internet IPv6 diretto se il traffico deve rimanere in Private Connect, che attualmente supporta IPv4.

Usa criteri del browser o del dispositivo per disabilitare DNS over HTTPS dove necessario. Le sole regole sulle risposte DNS non possono bloccare il DNS cifrato trasportato tramite HTTPS ordinario.

Verifica della connessioneCopia il link alla sezione

Genera traffico da un dispositivo dell’ufficio, poi apri Analytics. Verifica che ci siano un handshake WireGuard recente, contatori di trasferimento in aumento e gli IP sorgente dei client attesi.

Se manca l’handshake, controlla chiave del router, endpoint, connettività UDP e instradamento. Se l’utilizzo compare solo sotto l’indirizzo del router, rimuovi il NAT sorgente prima del tunnel.

Modifiche e rimozioneCopia il link alla sezione

Il salvataggio della configurazione, inclusa una nuova chiave del router o una regola DNS, interrompe brevemente le connessioni e azzera i contatori. I client devono ricollegarsi.

Deseleziona Enable interconnect per sospenderla, oppure seleziona Remove interconnect per eliminarla. L’inoltro si arresta quando la modifica viene applicata, oppure entro 60 secondi se il gateway non può riceverla.

Il kill switch del router determina se il traffico rimane bloccato durante un’interruzione. Verificalo prima di usare il tunnel come unico percorso Internet.

Consulta la guida rapida di WireGuard per l’uso degli strumenti Linux.