[WireGuard] client conf bestand aanpasbaar

[EverLast2002]

Mijn vraag
Ik wil een WireGuard vpn bestand aan een kennis geven zodat hij kan inloggen vanaf zijn locatie.
Er zit een restrictie op dat hij maar naar 2 apparaten kan op het doel netwerk.
Voordat ik dit bestand naar hem stuur dacht ik eerst zelf even te proberen,
alles werkt prima zover. Toen dacht ik "ik zal eens 0.0.0.0/0 in het conf zetten",
en door dit aan te passen kon ik overal bij in het doel netwerk.

Mijn vraag is dan, is dit vpn bestandje schrijfbeveiligd te maken zodat hij het niet kan aanpassen?


Relevante software en hardware die ik gebruik
WireGuard
WGDashboard
Linux Debian


Wat ik al gevonden of geprobeerd heb
Google
Claude

[Cyphax]

Zelfs als je het schrijfbeveiligd maakt, wat let hem of haar dan om het te vervangen met een ander bestandje met die inhoud?
Ik denk dat je de firewall van de server waar wireguard draait zo moet instellen dat de clients alleen toegestane adressen kunnen benaderen.

[EverLast2002]

Helder.
Ik dacht inderdaad ook aan bepaalde firewall rules.
Alleen er moeten nog wel andere mensen met hun WireGuard vpn overal bij kunnen.

[Damic]

In principe moet je iemand via je vpn server in zijn eigen vlan zetten en dan toewijzen wat deze mogen bereiken

[franssie]

Bestand beveiligen heeft geen zin. Ik draai een WG server die standaard op mijn Unifi gateway zit en die ondersteund niet dat ik per user kan instellen op welk VLAN deze binnenkomt, en dan via dat VLAN de mogelijkheden regelen.

Maar ik kan mij goed voorstellen dat andere WG servers die mogelijkheid wel bieden.
Lelijke oplossing is een tweede VPN server die je wel omheind op je server?

[EverLast2002]

Damic schreef op maandag 9 maart 2026 @ 17:30:
In principe moet je iemand via je vpn server in zijn eigen vlan zetten en dan toewijzen wat deze mogen bereiken

Momenteel is alles nog in aanbouw en is het een plat netwerk, geen vlans etc.

[Erebos]

Beste is eerst een plannetje maken met een grove verdeling van zones denk ik. WAN, LAN, VPN en Guest is iets wat ik zo kan bedenken in dit geval. Mogelijk nog iets van een DMZ er bij en dat allemaal gescheiden via een firewall lijkt mij een aardig begin. Mogelijk is een Mikrotik RB5009 van wel een leuk model om te gebruiken. Die kan ook leuk WireGuard draaien, scheelt weer een 24/7 machine voor WG maar is mogelijk wel lastig in het begin.
Je kan ook een VM image downloaden om eens wat met de CLI of winbox(GUI) te spelen dus:WG en firewall rules om te zien of dat wat is. VM kan alles wat hardware ook kan behalve de fysieke interfaces natuurlijk.

[ Voor 10% gewijzigd door Erebos op 09-03-2026 20:38 ]

[Cyphax]

EverLast2002 schreef op maandag 9 maart 2026 @ 17:20:
Helder.
Ik dacht inderdaad ook aan bepaalde firewall rules.
Alleen er moeten nog wel andere mensen met hun WireGuard vpn overal bij kunnen.

Het zou op zich wel nice zijn als je dat op een beetje toegankelijke manier kan beheren maar het is met behulp van bijvoorbeeld iptables wel te configureren. Ik moet zeggen dat ik dat ook lastig vind/vond en allang blij ben dat ik na behoorlijk wat gepruts een werkende configuratie heb.

Ik heb een setje scripts staan in /etc/wireguard (eentje voor up en eentje voor down) met een paar iptables commando's) die worden uitgevoerd bij het aangaan en verbreken van een verbinding, ik zou die dan gewoon uitbreiden met de ip-adressen en de beperkingen.

[FreakNL]

Ik geef gasten op mijn WireGuard 192.168.99.x/24

Zelf zit ik in een ander segment.

192.168.99.x/24 blokkeer ik middels de firewall zodat ze alleen naar het internet mogen.

Draait op Ubuntu.

De IP adressering is volgens mij serversided geregeld…

[ Voor 13% gewijzigd door FreakNL op 09-03-2026 22:13 ]