WireGuard VPN di STB Armbian: Akses Aman dari Mana Saja

Konten Halaman

Bayangkan STB Armbian sebagai pintu menuju jaringan rumah. WireGuard membuat terowongan terenkripsi dari HP atau laptop di luar rumah ke STB, lalu ke home server. Jadi, dashboard Docker, CasaOS, atau Home Assistant tidak perlu dibuka langsung ke internet. Ini melanjutkan konteks seri home server; panduan Home Assistant terpisah dapat dibaca di sini, bukan berarti artikel ini memasang Home Assistant.

Sebelum mulai

Siapkan STB dengan Armbian yang masih mendapat pembaruan, akses terminal sebagai pengguna sudo, dan alamat IP lokal STB yang stabil. Pastikan router dapat diatur dan kernel image STB mendukung WireGuard (cek dokumentasi Armbian untuk varian STB sahabat). Sahabat juga memerlukan IP publik yang dapat dijangkau dari internet. Jika koneksi memakai CGNAT, port forwarding biasa mungkin tidak berfungsi; tanyakan IP publik ke penyedia atau gunakan solusi jaringan perantara.

Catat subnet LAN, misalnya 192.168.1.0/24, dan rencanakan subnet VPN yang tidak bertabrakan, misalnya 10.8.0.0/24. Jangan mengandalkan contoh ini tanpa memeriksa jaringan sahabat. Pilih satu port UDP WireGuard, misalnya 51820, hanya jika router dan firewall mengizinkannya. Jangan membuka port layanan Docker, CasaOS, SSH, atau Home Assistant ke internet.

Instalasi dan kunci

Pasang paket

Perbarui indeks paket, lalu periksa ketersediaan paket WireGuard dari repositori Armbian/Debian:


sudo apt update

sudo apt install wireguard

Jika paket tidak tersedia, jangan mengambil skrip acak; cek versi Armbian/Debian dan dokumentasi distribusi. Simpan konfigurasi di direktori WireGuard dengan izin ketat.

Buat pasangan kunci server dan satu klien. Jalankan perintah berikut untuk masing-masing perangkat, bukan menyalin private key antarmesin:


umask 077

wg genkey | tee server_private.key | wg pubkey > server_public.key

Ulangi dengan nama klien. Private key harus tetap rahasia; yang ditukar hanya public key. Simpan konfigurasi klien dan QR code secara aman, karena siapa pun yang memilikinya dapat mencoba masuk sebagai klien tersebut.

Konfigurasi peer dan routing

Buat /etc/wireguard/wg0.conf di STB. Contoh struktur minimal berikut harus disesuaikan; placeholder bukan kunci yang boleh dipakai:


[Interface]

Address = 10.8.0.1/24

ListenPort = 51820

PrivateKey = <KUNCI_PRIVAT_SERVER>

[Peer]

PublicKey = <KUNCI_PUBLIK_KLIEN>

AllowedIPs = 10.8.0.2/32

Di aplikasi WireGuard klien, masukkan private key klien, alamat 10.8.0.2/32, public key server, dan endpoint IP publik beserta port UDP. Untuk mencapai STB dan LAN contoh, gunakan AllowedIPs = 10.8.0.0/24, 192.168.1.0/24. Ganti subnet sesuai jaringan nyata. PersistentKeepalive = 25 pada peer klien dapat membantu ketika klien berada di balik NAT.

Akses LAN membutuhkan IP forwarding, aturan firewall, dan rute balik atau NAT yang sesuai antarmuka. Minta administrator menyesuaikannya jika belum memahami routing; jangan menyalin aturan firewall acak. Atur router meneruskan hanya port UDP WireGuard ke IP lokal STB. Batasi layanan dan alamat tujuan yang boleh dicapai peer.

Setelah konfigurasi dan routing selesai, lindungi berkas lalu aktifkan layanan:


sudo chmod 600 /etc/wireguard/wg0.conf

sudo systemctl enable --now wg-quick@wg0

sudo wg show

Uji dari luar rumah

Matikan Wi-Fi HP, aktifkan data seluler, lalu nyalakan tunnel. Uji alamat VPN STB lebih dahulu, kemudian alamat home server yang memang diizinkan. Periksa status handshake dan waktu transfer dengan utilitas WireGuard; lihat log jika gagal. Jika tidak ada handshake, cek IP publik, CGNAT, port UDP, endpoint, dan jam perangkat. Jika handshake ada tetapi layanan gagal, periksa AllowedIPs, forwarding, rute balik, dan firewall.

Pemeliharaan aman

Perbarui Armbian, kernel, dan paket secara berkala; tinjau peer yang masih diperlukan; cabut peer dengan menghapus konfigurasinya; serta buat cadangan terenkripsi. Jangan pernah membagikan private key atau QR konfigurasi. Mulailah dengan satu klien dan akses minimum, lalu perluas setelah pengujian. Dengan cara ini, sahabat dapat mengelola home server dari luar tanpa menjadikan setiap layanan sebagai pintu masuk publik.