Acceso al laboratorio por WireGuard

Cómo funciona

Ludus crea un servidor WireGuard en el propio Proxmox. Tú te conectas a él desde tu PC y solo el tráfico hacia el laboratorio (10.2.0.0/16) va por el túnel; tu salida a Internet sigue por tu red normal.

Generar la configuración

En el host Proxmox:

ludus --user <usuario-del-rango> users wireguard > /root/goad-wireguard.conf

Revisa el contenido. Lo importante:

[Interface]
PrivateKey = <clave-privada>
Address = 198.51.100.3/32

[Peer]
PublicKey = <clave-publica-del-servidor>
Endpoint = <IP-DE-TU-PROXMOX>:51820
AllowedIPs = 198.51.100.1/32,10.2.0.0/16
PersistentKeepalive = 25

El fichero lleva una clave privada. No lo subas a ningún sitio y limita quién puede leerlo.

En Windows: llevarlo a tu PC e instalar el cliente

Desde PowerShell:

scp root@<IP-DE-TU-PROXMOX>:/root/goad-wireguard.conf .\goad-light-wireguard.conf
winget install --id WireGuard.WireGuard -e

Abre la aplicación WireGuard, importa el .conf y pulsa Activar. Si todo va bien, el túnel sale como Activo y el último saludo es reciente:

Comprueba que llegas al laboratorio:

ping 10.2.10.10
ping 10.2.20.2

En Windows: conectar y desconectar desde la consola

El túnel queda como servicio de Windows. Si lo importas como servicio, arranca solo en cada reinicio.

Stop-Service 'WireGuardTunnel$goad-light-wireguard' -Force
Start-Service 'WireGuardTunnel$goad-light-wireguard'

Para que no se conecte solo al arrancar:

Set-Service 'WireGuardTunnel$goad-light-wireguard' -StartupType Manual

En Linux

Si tu máquina de ataque es Linux (por ejemplo Kali), el flujo es el mismo con wg-quick.

Instalar WireGuard

sudo apt updatesudo apt install -y wireguard

Llevar la configuración

Copia el .conf desde el Proxmox a /etc/wireguard/ con el nombre que quieras para la interfaz, y restringe los permisos, porque lleva la clave privada:

$ scp root@<IP-DE-TU-PROXMOX>:/root/goad-wireguard.conf .$ sudo mv goad-wireguard.conf /etc/wireguard/goad-light.conf$ sudo chmod 600 /etc/wireguard/goad-light.conf

Conectar y comprobar

sudo wg-quick up goad-lightsudo wg show$ ping -c 2 10.2.10.10

En wg show debe aparecer un latest handshake reciente, igual que el "último saludo" de la app de Windows. Como AllowedIPs solo incluye 198.51.100.1/32 y 10.2.0.0/16, solo el tráfico del laboratorio pasa por el túnel y tu salida a Internet no cambia.

Desconectar y arranque automático

sudo wg-quick down goad-light

Si quieres que se levante solo al arrancar, actívalo como servicio (opcional):

sudo systemctl enable --now wg-quick@goad-light

Si usas WSL en Windows

No hace falta instalar nada en WSL: con el túnel activo en Windows, el tráfico de WSL sale por él. En mi caso, nxc lanzado desde WSL llegó al laboratorio sin configurar nada más, y en los hosts salía como origen la IP del túnel de Windows (198.51.100.3).

Aislamiento

Las máquinas vulnerables solo son alcanzables desde el túnel, no desde el resto de tu red. Las VMs sí tienen salida a Internet (GOAD descarga instaladores durante el despliegue), así que si quieres cortarla, Ludus permite bloquearla por VM con testing: block_internet: true. No abras el puerto 51820 de tu router al exterior.