Đây chắc chắn là cách dễ nhất để truy cập PC của bạn từ bất cứ đâu mà không cần VPN

Truy cập vào mạng gia đình của bạn từ nơi khác trước đây có nghĩa là phải chấp nhận một VPN chậm, tập trung, định tuyến mọi thứ qua một máy chủ duy nhất, hoặc một thiết lập thủ công phức tạp mà hầu hết mọi người bỏ dở giữa chừng. WireGuard không thuộc về bất kỳ điều nào trong số đó. Nó kết nối các thiết bị trực tiếp, giữ chi phí mã hóa ở mức thấp, và không duy trì trạng thái kết nối, nên việc chuyển đổi mạng không làm hỏng gì cả. Bạn chỉ cần làm quen với việc sử dụng nó.

WireGuard tốt hơn bạn nghĩ

Bạn có thể làm cho mạng gia đình của mình có thể truy cập từ bất cứ đâu

WireGuard không sử dụng mô hình máy chủ tập trung cũ, vì vậy bạn không phải dẫn mọi lưu lượng của mình qua một điểm dễ bị lỗi duy nhất. Thay vào đó, dịch vụ hoạt động giống như một thiết lập ngang hàng. Mỗi thiết bị đều có cặp khóa mật mã riêng. Có một khóa công khai mà bạn chia sẻ với các thiết bị đáng tin cậy, và một khóa riêng mà bạn không bao giờ để rời khỏi thiết bị. Khi bạn muốn truy cập mạng tại nhà từ xa, các khóa này tạo ra một đường hầm mã hóa trực tiếp giữa các thiết bị.

Cài đặt nó gần giống với việc trao đổi khóa SSH hơn là thiết lập VPN truyền thống. Không có quá trình bắt tay đa bước, và không có kết nối liên tục để giám sát. Vì WireGuard không duy trì trạng thái kết nối, các thiết bị của bạn có thể chuyển từ LTE sang Wi-Fi công cộng, và đường hầm sẽ theo kịp. Vì vậy, bạn không cần lo lắng về kết nối bị rớt và việc kết nối lại thủ công.

WireGuard xử lý định tuyến lưu lượng bằng một cơ chế mà nó gọi là Định tuyến Khóa Mã hóa (Cryptokey Routing). Mỗi danh tính được liên kết với một danh sách các địa chỉ IP cụ thể mà nó được phép sử dụng, vì vậy kiểm soát truy cập và định tuyến diễn ra trong một bước duy nhất. Khi thiết bị từ xa của bạn gửi dữ liệu về nhà, WireGuard kiểm tra địa chỉ IP đích và lấy khóa công khai phù hợp. Từ đó, nó mã hóa gói dữ liệu và gửi đi. Thật sự là đơn giản khi bạn nhìn vào nó.

Ở phía nhận, gói tin được giải mã, và địa chỉ IP nguồn được kiểm tra đối chiếu với danh sách cho phép của peer đó. Nếu có gì không khớp, gói tin sẽ bị hủy ngay lập tức. WireGuard cũng không phản hồi đối với lưu lượng chưa được xác thực; nó chỉ đơn giản là bỏ qua.

Bạn không cần phải quét các cổng mở hay thăm dò các lỗ hổng vì mạng gia đình của bạn về cơ bản là vô hình. WireGuard chạy trong nhân hệ điều hành thay vì trong không gian người dùng, điều này có nghĩa là nó sẽ không có độ trễ giống như bạn mong đợi với các VPN cũ hơn. Vì vậy, nó nhanh hơn và an toàn hơn nhiều so với bạn nghĩ.

Cài đặt WireGuard

Có những công cụ để làm điều này dễ dàng hơn

WireGuard được thiết kế an toàn ngay từ đầu, đó là lý do tôi thích nó, nhưng việc thiết lập thủ công thật sự phiền toái. Bạn sẽ cần tạo các cặp khóa mã hóa, chỉnh sửa tập tin cấu hình, cấu hình chuyển tiếp IP, và vật lộn với các quy tắc tường lửa. May mắn thay, các công cụ xung quanh nó đã được cải thiện rất nhiều.

Các công cụ như wg-easy loại bỏ hầu hết sự phức tạp đó và khởi chạy một máy chủ chỉ trong vài phút bên trong một container Docker.

Trình cài đặt xử lý các công việc tẻ nhạt cho bạn, như quét các bộ điều hợp mạng, thiết lập IP của bạn, liên kết WireGuard với một cổng UDP và tạo các khóa của máy chủ. Vì vậy bạn thực sự không phải chạm vào một tập tin cấu hình nào cả.

Quản lý các kết nối sau đó cũng đơn giản như vậy. Để thêm một thiết bị mới, bạn chỉ cần nhấp vào 'Tạo' trên bảng điều khiển, đặt tên cho client, và công cụ sẽ lo phần còn lại. Nếu một thiết bị bị mất hoặc bị đánh cắp, việc thu hồi quyền truy cập của nó khá đơn giản. Bạn chỉ cần xóa hồ sơ, và thiết bị đó sẽ không còn có thể kết nối với mạng của bạn.

Nếu bạn không muốn làm việc từ dòng lệnh, các công cụ như wg-easy cung cấp cho bạn một bảng điều khiển trên trình duyệt để quản lý mọi thứ theo cách trực quan. Chúng cũng hoạt động tốt với các công cụ DNS cục bộ như Pi-hole, vì vậy các thiết bị từ xa của bạn tự động hưởng lợi từ việc chặn quảng cáo của mạng gia đình bạn.

Phần mượt mà nhất của toàn bộ thiết lập là kết nối một thiết bị mới. Các ứng dụng WireGuard chính thức trên iOS, Android, Windows và macOS đều hỗ trợ thêm một kết nối bằng cách quét mã QR. Đây là phần yêu thích của tôi vì tôi đã phải xử lý quá nhiều ứng dụng khiến tôi phải sao chép các tệp cấu hình mật mã vào điện thoại.

Đây là lý do tại sao chúng ta có những công cụ như wg-easy. Chỉ cần mở bảng điều khiển của bạn, và một mã QR sẽ xuất hiện trên màn hình. Mở WireGuard trên điện thoại của bạn, nhấn Thêm một đường hầm, sau đó quét nó. Ứng dụng sẽ tự động lấy các khóa của bạn, địa chỉ máy chủ và các quy tắc định tuyến.

Điều này an toàn hơn vẻ bề ngoài

Một vài thói quen đơn giản giúp thiết lập của bạn ổn định

Một vài điều thực tế sẽ giúp việc truy cập từ xa của bạn hoạt động trơn tru. Các kết nối internet tại nhà thường có địa chỉ IP động, điều này có nghĩa là IP của bạn có thể thay đổi khi bạn vắng mặt, và đường hầm có thể bị gián đoạn. Cách khắc phục là kết hợp dịch vụ DNS động với cài đặt giữ kết nối. Bạn chỉ cần để các máy khách gửi một gói dữ liệu nhỏ mỗi 25 giây để giữ cho các ánh xạ NAT của tường lửa luôn hoạt động, vượt qua các thay đổi mạng và để máy chủ tự động nhận IP mới của máy khách.

Về mặt kỹ thuật, việc đặt MTU của khách hàng của bạn lên 1420 cho IPv4 sẽ ngăn các gói tin bị phân mảnh, điều này giữ tốc độ ở mức phù hợp. Tuy nhiên, quan trọng hơn, hãy tránh chạy cổng VPN của bạn trên máy chính. Nếu có thể, hãy giữ nó trên một máy chủ riêng để các thiết bị chính của bạn hoàn toàn không tham gia vào luồng dữ liệu.

Đặt VPN của bạn trực tiếp trên mạng con chính của mạng gia đình là đang mời rắc rối. Nếu một thiết bị từ xa bị đánh cắp hoặc nhiễm phần mềm độc hại, kẻ tấn công có thể sử dụng nó làm điểm tựa để tiếp cận mọi thứ khác trên mạng của bạn.

Một cách tiếp cận an toàn hơn là cách ly máy chủ WireGuard của bạn trong VLAN riêng. Nếu bạn đang chạy Proxmox hoặc Unraid, bạn có thể đặt VPN bên trong một container Docker gắn với một giao diện mạng ảo được gắn thẻ.

Từ đó, các quy tắc tường lửa nghiêm ngặt cho phép bạn kiểm soát chính xác những gì các máy khách từ xa có thể và không thể truy cập, nhờ vậy các máy tính cá nhân và thiết bị nhà thông minh của bạn luôn ngoài giới hạn.

Đừng thử làm việc này bằng tay nếu bạn có thể tránh được

WireGuard được thiết kế tốt, nhưng việc tự cài đặt thủ công thật sự phiền toái. Các công cụ như wg-easy tồn tại không phải không có lý do, và việc sử dụng chúng không làm cho cài đặt của bạn kém an toàn hơn. Giữ nó trên VLAN riêng với các quy tắc tường lửa nghiêm ngặt chỉ đòi hỏi rất ít nỗ lực bổ sung trong quá trình cài đặt và tạo ra sự khác biệt giữa một kênh an toàn và một cánh cửa mở vào toàn bộ mạng của bạn.