Как настроить доступ из интернета в локальную сеть через роутер

Как настроить доступ к локальной сети через интернет

Есть больше количество причин, по которым нужно получить доступ в локальную сеть из интернета. Кому-то нужно подключиться, чтобы просмотреть удаленные файлы и каталоги, а кому-то срочно требуется доступ к системе безопасности, включающей камеры наблюдения, датчики движения и так далее. Причин, по которым люди хотят получить доступ к локальной сети и глобальной множество, как и способов организовать это. В данном материале читатель ознакомится с тем, как подключиться к локальной сети через интернет и что для это нужно сделать.

Как подключиться к домашней сети через интернет

Согласно теории, на которой поострены компьютерные сети, чтобы получить доступ к данным сервера или какого-либо компьютера, можно использовать два базовых параметра — IP-адрес и порт, на которых функционирует утилита, позволяющая устройству выходить в сеть по определенному стандарту и протоколу. Именно поэтому так важна правильная и грамотная настройка роутера (модема), персонального компьютера и сервера, которые и обеспечивают непрерывный доступ друг к другу и совместное функционирование.

Доступность каждого протокола связи по базовым и принятым всеми стандартам осуществляется по некоторым портам:

• 80 и 8080 — доступность веб-сервера и HTTP протокол. Подключение по TCP портам;
• 443 — передача информации веб серверу по защищенным методам;
• 21 — основной порт, использующийся для протокола передачи данных FTP;
• 22 — конфигурирование устройств и выполнение над ними действий из терминала SSH (протокол защищен);
• 23 — незащищенный протокол для обычного подключения к терминалу TCP;
• 25 и 110 — получение доступа к серверам почтового типа на протоколах SMTP и POP3 соответственно.

Также нельзя не сказать об открытии портов. Если делать это на сервере, то его защищенность будет значительно меньше. Уязвимости всегда привлекают недобросовестных людей. Именно поэтому порты открывают только тогда, когда это действительно необходимо. Из этого вытекает то, что если доступ по какому-либо протоколу больше не осуществляется, его выделенный порт желательно закрыть. Специалисты рекомендуют закрывать все порты сервера, а открывать их по одному по мере добавления новых служб.

Опасность представляют по большей мере те порты, которые не требуют авторизации. Это, к примеру, 21 порт Виндовс, который открыт по умолчанию и может быть использован для несанкционированного доступа.

Настройка маршрутизатора — трансляция адресов

Трансляция или по-другому «проброс» — специальная процедура, которую выполняют на маршрутизаторе. Делается она для того, чтобы устройство переключало внутренний адрес локальной сети на внешний адрес. Это значит, что при подсоединении всегда будет указан айпи, который «смотрит» в глобальную сеть. Сам по себе внешний айпи может быть:

• Серым или динамическим;
• Белым или статическим.

К сожалению, конфигурирование роутера дл описания всех случаев никак не впишется в рамки статьи, поэтому, чтобы понимать суть происходящего, будет показан пример на белом (статическом) айпи адресе.

Производиться настройка будет из веб-интерфейса роутера Zyxel модели Keenetic. Это устройство отлично подходит для выполнения цели — получению доступа. Чтобы приступить к конфигурированию, требуется войти в настройки роутера по адресу, который указан на его задней панели, и авторизоваться в них с логином и паролем, которые указаны там же.

Персональный компьютер или ноутбук подключается к маршрутизатору по технологии DHCP, выдающей айпи всем устройствам сети. Каждый раз при перезаходе в сеть ПК будет получать пой адрес из диапазона. Чтобы доступ был организован для всех устройств, необходимо каждому из них выдать айпи. Сделать это можно на главном окне настроек в вкладке «Домашняя сеть», где находится параметр » Закрепить IP адрес за аппаратом«.

После закрепления нужно выбрать вкладку «Безопасность» и в ней найти «Трансляцию сетевых адресов». Тут добавляются правила: по одному на каждую службу, которой нужно дать доступ к серверу.

Когда будет нажата кнопка «Добавить правило», откроется окно, в котором необходимо заполнить следующие параметры:

• Интерфейс. Выбрать «WAN». Все зависит от того, какой тип подключения использует провайдер (PPPoE, L2TP и так далее);
• Протокол. Выбрать из списка протокол, необходимый для того, чтобы подключиться к соединению;
• Перенаправление. Указать локальный адрес сервера или ПК, на который будут перенаправляться запросы;
• Новый порт. Указать порт компьютера, на который будет происходить перенаправление.

Все это требуется сделать для каждого устройства, подключенного к локальной сети и для всех протоколов. Это означает, что каждое устройство и каждая служба будет иметь для себя отдельное правило, конфигурирующее их работу. Каждое правило после своего описание принимается и сохраняется на соответствующую кнопку.

Настройка доступа на компьютере с ОС Windows

Чтобы настройки на роутере работали по отношению к машине, необходимо открыть порты и на ней. Сделать это можно в Брандмауэре. Запустить его можно следующим образом: Панель управления — Система и безопасность — Брандмауэр. Также можно прописать название программы в меню Пуск и найти ее там. Открытие порта делается так:

1. В окне Брандмауэра необходимо открыть меню дополнительных параметров;
2. Нажать на кнопку «Правила для входящих соединений» и создать новое правило;
3. В окне мастера создания правила выбрать тап правила: для программы, для порта, используя предустановленные правила и конфигурируемые правила;
4. Выбрать «Для порта» и указать тип протокола «TCP»;
5. Указать порт или целый диапазон портов через тире;
6. Создать правило для «Разрешения подключения»;
7. Определить профиль подключения, выбрав все профили системы или только профиль администратора;
8. Нажать на кнопку «Готово» и дать правилу наименование.

Настройка доступа с использованием сторонних программ

В наше время можно не заниматься всем вручную и довериться специализированным программам, которые сами предоставят доступ из локальной вычислительной сети в глобальную сеть интернет. Более того, при их использовании не понадобятся никакие дополнительные навыки. Программу достаточно скачать, установить и запустить на машине сервера и клиента. В некоторых случаях все же потребуется для нормальной работы открыть трансляцию адресов на своем роутере.

В пример можно поставить такую известную программу, как Team Viewer. Среди ее возможностей — функция подключения к удаленным персональным компьютерам и их рабочему столу. Это позволяет не только управлять компьютером в режиме реального времени но и скачивать файлы, передавать их на другие сервера и выполнять еще множество других функций.

Помимо ТимВивера, популярными программами для доступа к локальной сети из интернета являются:

• Anyplace Control. Старый софт, поддерживаемый начиная от Виндовс 95 до Виста. Одна из немногих программ, обладающая русскоязычным интерфейсом. Позволяет осуществлять удаленное взаимодействие с локальными сетями через интернет;
• Access Remote PC. Не менее старая программа с поддержкой версий 95, 96, XP, NT, Millennium. Осуществляет перехват рабочего стола и получение полного доступа к ПК;
• DameWare NTUtilities. Мощная система удаленного администрирования ЛВС. Основана на пакете программ для Виндовс НТ, которые удобно объединены в один рабочий интерфейс;
• RemotelyAnywhere. Пакет программ для удаленного управления сетями, персональными компьютерами и серверами через глобальную или локальную сеть. Позволяет реализовать любые действия сподключенным компьютером;
• Radmin. Софт, который не нуждается в представлении. Обладает широкими возможностями администрирования локальных сетей. Плюсом стает наличие русского интерфейса управления;
• UltraVNC. Наличие серверной и клиентской версии. Больше подходит для локальных сетей и управления внутри них, чем осуществлением доступа через интернет;
• VNC Personal Edition. Приложение позволяет удаленно управлять подключенными компьютерами по протоколу VNC иVPN.

Таким образом, подключать доступ к удаленным машинам через сеть Internet вполне реально. Настроить такое подключение можно не только самостоятельно, но и с помощью специальных программ, позволяющих исправить необходимые параметры сетей и организовать прямой доступ.

Локальная сеть (Local Area Network, сокращенно LAN) — несколько компьютеров и гаджетов (принтеры, смартфоны, умные телевизоры), объединенных в одну сеть посредством специальных инструментов. Локальные сети часто используются в офисах, компьютерных классах, небольших организациях или отделениях крупных компаний. Локальная сеть дает большой простор для деятельности, например, создание умного дома с подключением саундбаров, телефонов, кондиционеров, умных колонок. Можно перебрасывать с телефона фотографии на компьютер без подключения по кабелю, настроить распознавание команд умной колонкой. Преимуществом является то, что локальная сеть — это закрытая система, к которой посторонний не может просто так подключиться.

Для чего нужна локальная сеть

Локальная сеть дает множество удобных функций для использования нескольких компьютеров одновременно:

• передача файлов напрямую между участниками сети;
• удаленное управление подключенными к сети принтерами, сканерами и прочими устройствами;
• доступ к интернету всех участников;
• в других случаях, когда нужна связь между несколькими компьютерами, к примеру, для игр по сети.

Что нужно для создания локальной сети

Для создания собственной LAN-сети минимальной конфигурации достаточно иметь пару компьютеров, Wi-Fi роутер и несколько кабелей:

• непосредственно сами устройства (компьютеры, принтеры и тд).
• Wi-Fi-роутер или маршрутизатор. Самое удобное устройство для создания домашней сети, поскольку Wi-Fi-роутер есть практически в каждом доме.
• Интернет-кабели с витой парой. Раньше было важно использование crossover-кабелей при соединении компьютеров напрямую, без роутеров и switch-коммутаторов. Сейчас же в них нет нужды, поскольку сетевые карты сами понимают как подключен кабель и производят автоматическую настройку.
• Switch-коммутаторы или hub-концентраторы. Служат для объединения устройств в одну сеть. Главный «транспортный узел». Необязательное, но удобное устройство, давно вытесненное Wi-Fi маршрутизаторами из обычных квартир.

• NAS (англ. Network Attached Storage). Сетевое хранилище. Представляет собой небольшой компьютер с дисковым массивом. Используется в качестве сервера и хранилища данных. Также необязательная, но удобная вещь.

Нужное оборудование у нас есть, что дальше?

Сначала необходимо определиться, каким образом будут соединяться между собой компьютеры. Если используется проводной способ подключения, то подключаем все кабели к роутеру или коммутатору и соединяем их в сеть. Существует несколько способов создания LAN-сетей.

Если используется Wi-Fi, то сначала необходимо убедиться, поддерживают ли устройства данный вид связи. Для компьютера может пригодиться отдельный Wi-Fi-адаптер, который придется отдельно докупать. В ноутбуках же он предустановлен с завода. Подключаем устройства к одному Wi-Fi-маршрутизатору.

Настройка обнаружения

Просто подключить оборудование друг к другу недостаточно, поэтому идем дальше:

1. Все устройства должны находиться в одной «рабочей группе». Этот параметр легко настраивается в ОС Windows 10.
   Для этого проходим по пути: Панель управления — Система и безопасность — Система — Дополнительные параметры системы — Свойства системы. В открывшемся окошке надо указать, что компьютер является членом определенной рабочей группы и дать ей название. Это действие повторить на всех остальных ПК из сети.
2. При использовании Wi-Fi изменить параметр сетевого профиля в настройках сети. Для этого в настройках «Параметры Сети и Интернет» в разделе «Состояние» нужно нажать на «Изменить свойства подключения» и выбрать профиль «Частные».
3. После этого настраиваем параметры общего доступа. Идем в «Центр управления сетями и общим доступом» и открываем «Изменить дополнительные параметры общего доступа». Там нужно включить сетевое обнаружение, а также доступ к файлам и принтерам.
4. Не забываем включить доступ к ПК и отключить защиту паролем.

Теперь наступает важный этап работы: настроить сетевое обнаружение и общий доступ к файлам

Важно убедиться, чтобы у всех компьютеров были правильные IP-адреса. Обычно система автоматически настраивает данный параметр, но если при работе LAN появятся сбои, то нужно будет указать адреса вручную. Проверить IP можно с помощью «настроек параметров адаптера». Заходим в «Центр управления сетями и общим доступом» и оттуда нажимаем «Изменение параметров адаптера».

Нажимаем ПКМ по подключению и открываем свойства. Дальше открываем свойства IP версии 4 TCP / IPv4 (может иметь название «протокол Интернета версии 4»). IP-адрес — то, что нам нужно. Смотрим, чтобы у первого компьютера был адрес, отличный от второго. Например, для первого будет 192.168.0.100, 192.168.0.101 у второго, 192.168.0.102 у третьего и т.д. Для каждого последующего подключенного компьютера меняем последнюю цифру адреса. Стоит учесть, что у разных роутеров могут быть разные, отличные от указанных IP-адреса. На этом этапе локальная сеть уже готова и функционирует.

Заходим в раздел «Сеть» проводника. Если все подключено правильно, то мы увидим подключенные к сети устройства. Если же нет, то Windows предложит нам настроить сетевое обнаружение. Нажмите на уведомление и выберите пункт «Включить сетевое обнаружение и доступ к файлам». Стоит учесть, что брадмауэр может помешать работе LAN, и при проблемах с работой сети надо проверить параметры брадмауэра. Теперь надо только включить нужные папки и файлы для общего доступа.

Как открыть доступ к папкам?

Нажимаем ПКМ по нужной папке и заходим во вкладку «Доступ». Нажимаем «Общий доступ» и настраиваем разрешения. Для домашней локальной сети легче всего выбрать вариант «Все». Выбираем уровень доступа для остальных участников «чтение или чтение + запись».

Теперь из свойств папки заходим во вкладку безопасности. Нажимаем «Изменить» и «Добавить». Выбираем «Все» и активируем изменения. В списке разрешений для папки должна находиться группа «Все». Если нужно открыть доступ не к отдельной папке, а всему локальному диску, то нужно зайти в свойства диска, нажать «Расширенная настройка» и поставить галочку в поле «Открыть общий доступ». Командой «\localhost» можно посмотреть, какие папки данного компьютера имеют общий доступ для локальной сети. Чтобы просмотреть файлы из общих папок нужно в проводнике найти раздел «Сеть» и открыть папку нужного компьютера.

Как подключить принтер в локальную сеть

В «Устройствах и принтерах» нужно выбрать принтер и нажав ПКМ перейти в свойства принтера. Во вкладке «Доступ» нажать на галочку «Общий доступ». Принтер должен отображаться иконкой, показывающей, что устройство успешно подключено к LAN.

Если нужно закрыть доступ к папке, то в свойствах надо найти пункт «Сделать недоступными». Если же нужно отключить весь компьютер от LAN, то легче всего изменить рабочую группу ПК.

Администрирование и создание локальных сетей с помощью программ

Бывают ситуации, когда необходимо сделать локальную сеть, но это физически невозможно. На помощь приходит программное обеспечение, позволяющее создавать виртуальные локальные сети. Существуют разные программы для создания администрирования локальных сетей. Расскажем о паре из них:

RAdmin

Очень удобное приложение, позволяющее работать с локальной сетью или VPN в пару кликов. Основные функции программы это: удаленное управление компьютером с просмотром удаленного рабочего стола, передача файлов. Также программа может помочь геймерам, играющим по локальной сети.

Hamachi

Пожалуй, самая популярная программа в данной категории. Может создавать виртуальные локальные сети с собственным сервером. Позволяет переписываться, передавать файлы и играть в игры по сети. Также имеет клиент для Android.

Я, скорее, параноик и до сего момента держу закрытым весь доступ в локалку из Сети. Хотя, с другой стороны, полную гарантию не даёт даже физическое отключение тк остаются сменные носители. А уж если работает transmission, bttorrentsync и пр… В общем, придумалось несколько приложений, требующих доступа извне в локалку — owncloud, удалённый backup по интернет и пр. Начнём с DDNS

Сразу предупрежу, что со мной Капитан Очевидность. Всего лишь для новичка попробую излагать простыми словами.

Начнем с упрощенной теории. В глобальной сети право использовать IPv4 адрес (например 95.24.156.147) можно получить от полномочной организации, IANA. Адресов всего 2^32 (~ 4 млрд), часть отдана под специальные цели — на всех не хватает. Отчасти поэтому в изолированной домашней сети используются обычно адреса вида 192.168.0.0/16, во всех таких сетях одинаковые. Это позволяет экономить адресное пространство. Но в результате внутри домашней сети и снаружи адреса — разные. Внешний адрес ваша сеть получает один, от провайдера (которому вы платите за интернет). И его выдают в аренду на некоторое время, и могут в любой момент изменить. Поэтому достучаться до вашей домашней сети по IP несколько затруднительно. Есть два основных способа — арендовать у провайдера постоянный (статический адрес). Например, у моего провайдера это стоит 130 руб/мес. Так и стоит сделать, если у вас важные приложения, типа клиент-банк, т.к. статический адрес положительно сказывается на безопасности. Но в большинстве случаев проще второй способ — DDNS.

Суть DDNS в том, что вы поручаете кому-то (DNS серверу) отслеживать изменения вашего реального, динамического, IP адреса и связывать этот адрес с постоянным именем, например vasia_pupkin.ddns.com. Чтобы DNS сервер узнал об изменениях, из вашей сети кто-то должен периодически к этому DNS серверу подключаться, авторизовываться и сообщать свой текущий IP. Обычно эту работу исполняет роутер.

Хорошая новость в том, что в простейшем, годном для дома, варианте услуги DDNS можно найти бесплатные. Выбор провайдера DDNS — тема длинная, начните со списка, который поддерживает ваш роутер. Погуглите ваш, многие роутеры это умеют. Если не умеет — nas4free может взять эту роль на себя, Services|Dynamic DNS (я не настраивал, но там всё аналогично). Мой роутер, например, предлагает следующее

Как видно, я выбрал no-ip. Просто потому, что работает. Его и настроим.

1) Регистрируемся на https://www.noip.com/newUser.php, это бесплатный вариант. Во многих местах будут предлагать платное улучшение, для дома это не требуется.
Как всегда, понадобится адрес электронной почты. Плохо, что mail.ru не подойдёт. yandex.com и google.com — принимает.

2) Заходим, попадаем в графическое меню

Выбираем «Add Host»

3) Попадаем в диалог ниже (в него же можно попасть через меню — Add Host)

Полей очень много, внизу ещё есть. Но заполнить в простейшем случае надо только два
Hostname — выберите что-то вместо vasia_pupkin
И из длинного списка правее надо выбрать домен второго уровня. no-ip.info годится для бесплатного сервиса. Большинство остальных предложены для возможности попросить у вас денег.
IP address заполнять не надо — система определяет его сама. Но если заполните — ничего не изменится.
Жмём внизу оранжевую кнопку Add Host — готово
Прим — функциональность сервиса шире — может потом пригодиться.

4. теперь осталось настроить роутер (или NAS) стучаться на no-ip и сообщать о своём адресе. На примере моего роутера, у вас (и в nas4free) всё аналогично.

Идём по галочкам — включаем DDNS сервис, выбираем провайдера no-ip из списка, сообщаем имя созданного хоста, логин и пароль для подключения к no-ip, применяем.

5. Проверка связи. Осталось проверить. Естественный порыв — набрать vasia_pupkin.no-ip.info в адресной строке браузера (сделайте это)
Упс! Нам предлагают войти в вебгуй роутера! Это что же, теперь любой кулхацхер будет ко мне в гости ходить как к себе домой?!!
Ответ — и да и нет. То есть роботы будут ломится и, если вы позже откроете канал, могут подобрать, а то и подслушать пароли.
Нет, потому, что пока вы ничего не открыли. Вы просто привели знающих ваше доменноеё имя vasia_pupkin.no-ip.info к закрытой снаружи  двери роутера. Между прочим — причина не светить понапрасну выбранное вами доменное имя.

А вы видите приглашение ввести логин-пароль роутера потому, что к той же двери вы подошли ИЗНУТРИ, из доверенной зоны.
В работоспособности можно убедиться, пинганув ваш домен из командной строки
ping vasia_pupkin.no-ip.info
Если работает, вы получите что-то вроде
PING vasia_pupkin.no-ip.info (96.28.157.147) from 192.168.1.34: 56 data bytes
64 bytes from 95.27.155.134: icmp_seq=0 ttl=64 time=0.283 ms
64 bytes from 95.27.155.134: icmp_seq=1 ttl=64 time=0.292 ms
64 bytes from 95.27.155.134: icmp_seq=2 ttl=64 time=0.198 ms

Здесь видно, что (1) имя (vasia_pupkin.no-ip.info) ресолвится во внешний IP (96.28.157.147) — значит, сервис работает и
(2) что время прохождения очень мало, доли миллисекунды, то есть пакеты ходят локально.

6. Чтобы попасть снаружи — надо выйти наружу :). Что дома не так просто. Надо либо пойти на работу, к соседу или приятелю, либо из дома подключиться к другому провайдеру. Рядовой пользователь может сделать последнее, подключившись через мобильную связь. Я, например, воткнул 3G модем в ноутбук.
Снова сделаем пинг. В результате имя по-прежнему должно ресолвиться в тот же IP, но, если у вас нормальный роутер, пинга быть не должно. Если же у вас роутер из сети уже пингуется это может не так и страшно, но признак плохой и повод подумать о замене. Мой, вариант, напомню, asus rt-n56u с прошивкой от padavan.
Если пинга нет, отключите на роутере брандмауэр или, лучше и если есть, разрешите пинги из WAN. Теперь должно пинговаться.
Включите брандмауэр. На сегодня всё.

Время на прочтение
4 мин

Количество просмотров 39K

TL;DR: я устанавливаю Wireguard на VPS, подключаюсь к нему с домашнего роутера на OpenWRT, и получаю доступ к домашней подсети с телефона.

Если вы держите на домашнем сервере личную инфраструктуру или у вас дома множество девайсов управляемых по IP, то вы наверняка хотите иметь к ним доступ с работы, из автобуса, поезда и метрo. Чаще всего для аналогичных задач приобретается IP у провайдера, после чего порты каждого сервиса пробрасываются наружу.

Вместо этого я настроил VPN с доступом в домашнюю локалку. Плюсы такого решения:

• Прозрачность: чувствую себя как дома при любых обстоятельствах.
• Простота: настроил и забыл, не надо думать о пробросе каждого порта.
• Цена: у меня уже есть VPS, для таких задач современный VPN почти бесплатен по ресурсам.
• Безопасность: ничего не торчит наружу, можно оставить MongoDB без пароля и никто не утащит данные.

Как всегда, есть и минусы. Во-первых, вам придётся настраивать каждый клиент по отдельности, в том числе, на стороне сервера. Может быть неудобно при наличии большого числа устройств, с которых хочется иметь доступ к сервисам. Во-вторых, у вас на работе может оказаться совпадающая по диапазону локалка — придётся разрешать эту проблему.

Нам понадобится:

1. VPS (в моём случае на Debian 10).
2. Роутер на OpenWRT.
3. Телефон.
4. Домашний  сервер с каким-нибудь веб-сервисом для проверки.
5. Прямые руки.

В качестве технологии VPN я буду использовать Wireguard. Это решение также имеет сильные и слабые стороны, я их не буду описывать. Для VPN я использую подсеть 192.168.99.0/24, а дома у меня 192.168.0.0/24.

Конфигурация VPS

Для дела хватит даже самого нищенского VPS за 30 рублей в месяц, если вам повезёт такой урвать.

Все операции на сервере я выполняю от рута на чистой машине, при необходимости добавьте `sudo` и адаптируйте инструкции.

Wireguard не успели завезти в стейбл, поэтому я выполняю `apt edit-sources` и добавляю бэкпорты двумя строчками в конец файла:

deb http://deb.debian.org/debian/ buster-backports main
# deb-src http://deb.debian.org/debian/ buster-backports main


Пакет устанавливается привычным образом: apt update && apt install wireguard.

Далее генерируем пару ключей: wg genkey | tee /etc/wireguard/vps.private | wg pubkey | tee /etc/wireguard/vps.public. Эту операцию повторите ещё дважды для каждого девайса-участника схемы. Поменяйте пути к файлам с ключами для другого устройства и не забудьте о безопасности приватных ключей.

Теперь готовим конфиг. В файл /etc/wireguard/wg0.conf помещается конфиг:

[Interface]
Address = 192.168.99.1/24
ListenPort = 57953
PrivateKey = 0JxJPUHz879NenyujROVK0YTzfpmzNtbXmFwItRKdHs=

В секции [Interface] указываются настройки самой машины, а в [Peer] — настройки для тех, кто будет к ней подключаться. В AllowedIPs через запятую прописываются подсети, которые будут маршрутизироваться в соответствующего пира. Из-за этого пиры устройств-«клиентов» в подсети VPN должны иметь маску /32, всё остальное будет маршрутизироваться сервером. Так как домашняя сеть будет маршрутизироваться через OpenWRT, в AllowedIPs соответствующего пира дописываем домашнюю подсеть. В PrivateKey и PublicKey разложите приватный ключ сгенерированный для VPS и публичные ключи пиров соответственно.

На VPS осталось только запустить команду, которая поднимет интерфейс и добавит его в автозапуск: systemctl enable --now wg-quick@wg0. Текущий статус соединений можно проверить командой wg.

Конфигурация OpenWRT

Всё, что нужно для этого этапа есть в модуле luci (веб-интерфейс OpenWRT). Залогиньтесь в нём и в меню System откройте вкладку Software. OpenWRT не хранит кэш на машине, поэтому надо обновить список доступных пакетов, нажав на зелёную кнопку Update lists. После завершения в фильтр вбиваете luci-app-wireguard и, глянув на окошко с красивым деревом зависимостей, устанавливаете этот пакет.

В меню Networks выбираете Interfaces и жмёте зелёную кнопку Add New Interface под списком уже имеющихся. После ввода имени (так же wg0 в моём случае) и выбора протокола WireGuard VPN открывается форма настроек с четырьмя вкладками.

На вкладке General Settings надо вбить приватный ключ и IP адрес заготовленный для OpenWRT вместе с подсетью.

На вкладке Firewall Settings заводите интерфейс в локальную сеть. Так соединения из VPN будут свободно попадать в локалку.

На вкладке Peers жмёте единственную кнопку, после чего в обновленной форме заполняете данные VPS-сервера: публичный ключ, Allowed IPs (надо всю VPN-подсеть замаршрутизировать в сервер). В Endpoint Host и Endpoint Port вводите соответственно IP адрес VPS с портом в ранее указанным в директиве ListenPort. Отметьте Route Allowed IPs, чтобы были созданы маршруты. И обязательно заполните Persistent Keep Alive, иначе туннель туннель от VPS к роутеру будет обрываться, если последний за NAT.

После этого можно сохранить настройки, а затем на странице со списком интерфейсов нажать Save and apply. При необходимости явно запустите интерфейс кнопкой Restart.

Настраиваем смартфон

Вам потребуется клиент Wireguard, он доступен в F-Droid, Google Play и App Store. Открыв приложение жмёте плюсик и в секции Interface вводите имя соединения, приватный ключ (публичный сгенерируется автоматически) и адрес телефона с маской /32. В секции Peer указываете публичный ключ VPS, пару адрес: порт VPN-сервера в качестве Endpoint и маршруты до VPN- и домашней подсети.

Жмёте на дискетку в углу, включаете и…

Готово

Теперь вы можете получить доступ к домашнему мониторингу, менять настройки роутера, или делать что угодно на уровне IP.